BlackX ble oppdaget i en spionasjekampanje tidlig i 2026, rettet mot diplomatiske organer i Tadsjikistan, Usbekistan og Turkmenistan. Operasjonen er med middels sikkerhet knyttet til APT41, en kinesisk statsstøttet trusselaktør som også er kjent som Brass Typhoon, Wicked Panda og Barium.

UEFI-botkitet utnyttet den eldre Baton Drop-sårbarheten, CVE-2022-21894, for å omgå beskyttelsen i Secure Boot. Dermed kunne angriperne laste inn en ondsinnet Windows-kjernedriver som blant annet er utviklet for å forstyrre sikkerhetsløsninger fra Kaspersky og Avast.

Har tydelige likheter med BlackLotus

Kaspersky-forskere har analysert BlackX og funnet klare likheter med BlackLotus, et botkit som har sirkulert på hackerfora siden oktober 2022. BlackLotus utnyttet den samme Baton Drop-sårbarheten for å omgå Secure Boot.

ESET bekreftet i mars 2023 at BlackLotus brukte Baton Drop. På det tidspunktet kunne skadevaren kompromittere selv fullstendig oppdaterte Windows 11-systemer.

Ifølge Kaspersky er BlackX' implementering av sårbarheten «remarkably similar» til den som ble brukt av BlackLotus. Metoden gjør det mulig for angriperen å registrere egne Machine Owner Keys (MOK-er) og laste inn vilkårlige EFI-filer for å omgå Secure Boot-beskyttelsen.

BlackX skiller seg likevel fra BlackLotus ved at det bruker en annen kjernedriver og andre skadevarekomponenter etter den første kompromitteringen. Kaspersky mener BlackX enten er utviklet gjennom baklengsingeniørkunst på BlackLotus eller bygger på kildekoden til det eldre botkitet.

Ufullstendig kildekodelekkasje

Kildekoden til BlackLotus ble lekket i juli 2023, men lekkasjen var ikke komplett. Kaspersky-forskerne fant at enkelte BlackLotus-eksemplarer de analyserte inneholdt kode som manglet fra det offentlige arkivet, men som også finnes i BlackX.

Ettersom operatøren bak BlackX ikke kunne ha hentet denne koden fra det lekkede arkivet, mener forskerne at aktøren enten har rekonstruert BlackLotus gjennom analyse av skadevaren eller kjøpt tilgang til kildekoden.

BlackX injiserer en ondsinnet Windows-kjernedriver som er signert med et nå tilbakekalt sertifikat utstedt til organisasjonen Wenjiang District Mingyu Network Technology Service Studio.

Forsøker å skjule seg for sikkerhetsverktøy

Driveren deaktiverer prosesser knyttet til sikkerhet og registertilbakekall, og manipulerer leverandører for Event Tracing for Windows (ETW) for å gjøre overvåking vanskeligere.

Forskerne skriver at enkelte av manipulasjonsrutinene bare aktiveres dersom Kaspersky- eller Avast-produkter oppdages på systemet. Samtidig påpeker de at mekanismen ikke fungerer mot selskapets egne løsninger.

Driveren beskytter også botkitenes filer ved å fange opp brukerforespørsler om å åpne dem. I stedet for filene starter den Windows Kalkulator.

BlackX brukes dessuten til å installere etterfølgende spionasjekomponenter på infiserte maskiner. Kaspersky opplyser at alle ofrene som ble identifisert, brukte en fullstendig oppdatert Windows-versjon.

Oppdatering alene var ikke nok

At systemene var oppdatert, hindret likevel ikke angrepet. Administratorene hadde ikke aktivert de ekstra tilbakekallingene for Secure Boot manuelt.

«The patch for the Baton Drop vulnerability is designed to revoke the “Windows Production PCA 2011” certificate used to sign vulnerable UEFI components,» forklarer Kaspersky.

«However, this revocation does not happen automatically upon patch installation - the user has to trigger it manually.»

Forskerne beskriver dette som et hull i oppdateringsprosessen. Det er svært uvanlig at administratorer må utføre en separat, manuell handling etter at en sikkerhetsoppdatering er installert, mener de.

Kaspersky-forskerne tror angriperne utnyttet dette gapet og bestemte seg for å bruke tid på å forstå hvordan BlackLotus fungerer, før de utviklet en kopi med tilsvarende egenskaper.

Sertifikatet må blokkeres separat

Kaspersky advarer om at utløpsdatoen 19. oktober 2026 for sertifikatet «Windows Production PCA 2011» ikke i seg selv hindrer sårbare binærfiler fra å lastes inn på Windows-systemer. Administratorer må legge sertifikatet til en blokkeringsliste for å stoppe dette.

Instruksjoner for å fullføre sikringen mot Baton Drop, CVE-2022-21894, er gjort tilgjengelig av forskerne.

BlackX-saken viser dermed at en installert sikkerhetsoppdatering ikke nødvendigvis betyr at alle tilhørende beskyttelsestiltak er aktivert. I denne kampanjen kunne den manglende manuelle tilbakekallingen gi angriperne mulighet til å laste inn et botkit før Windows startet.