BlackX UEFI bootkit 利用 Baton Drop 漏洞绕过 Secure Boot
- 浏览次数 15
- 喜欢 0
一个名为 BlackX 的新型 UEFI bootkit 于 2026 年初在一次间谍活动中被部署，它利用旧的 Baton Drop 漏洞绕过 Secure Boot，并加载一个旨在干扰 Kaspersky 和 Avast 安全解决方案的恶意驱动。
该行动以中等置信度归因于 APT41，这是一个中国国家支持的威胁组织，也被称为 Brass Typhoon、Wicked Panda 和 Barium。
它于 2026 年初被发现，目标是中亚的外交机构，特别是塔吉克斯坦、乌兹别克斯坦和土库曼斯坦。
BlackX 的能力
Kaspersky 研究人员分析了 BlackX bootkit，发现它与 BlackLotus 存在相似之处。BlackLotus 自 2022 年 10 月起在黑客论坛上流传，并利用 Baton Drop 漏洞（CVE-2022-21894）绕过 Secure Boot 保护。
ESET 于 2023 年 3 月确认 BlackLotus 利用了 Baton Drop，当时它甚至可以攻陷完全打过补丁的 Windows 11 系统。
据 Kaspersky 研究人员称，BlackX 对该漏洞的实现与 BlackLotus 所使用的"极为相似"，允许攻击者注册自定义的 Machine Owner Keys（MOK）并加载任意 EFI 文件以绕过 Secure Boot 保护。
然而，BlackX 与 BlackLotus 不同，它部署了不同的内核驱动和后续载荷。Kaspersky 认为 BlackX 要么源自对 BlackLotus 的逆向工程，要么源自其源代码。
尽管 BlackLotus 的源代码于 2023 年 7 月泄露，但该次发布并不完整。Kaspersky 研究人员发现，他们分析的一些 BlackLotus 样本包含公开代码库中缺失、但存在于 BlackX bootkit 中的代码。
由于 BlackX 的操作者不可能从泄露的代码库中获得这些代码，研究人员认为攻击者要么对 BlackLotus 进行了逆向工程，要么购买了其源代码。
BlackX 注入一个恶意 Windows 内核驱动，该驱动使用一张已吊销的证书签名，该证书颁发给一个名为 Wenjiang District Mingyu Network Technology Service Studio 的组织。
该驱动禁用与安全相关的进程和注册表回调，并篡改 Event Tracing for Windows（ETW）提供程序以阻碍监控。
研究人员指出，部分篡改程序被配置为仅在目标主机上检测到 Kaspersky 或 Avast 产品时才运行，并补充说该机制对该公司自身的解决方案无效。
该驱动还通过拦截用户打开 bootkit 文件的请求并改为启动 Windows 计算器来保护 bootkit 的文件。
其目的还包括在受感染机器上部署以下间谍载荷：
- 一个使用 Google Drive、OneDrive 或 Yandex.Disk 进行命令与控制（C2）的 RAT，用于执行 .NET 载荷以及上传和下载文件。
- OxiDLLRunner，一个由 googleupdate.exe 侧加载的 OLLVM 混淆 DLL。它解密 v8_context_snapshot.bin 以启动 shellcode 和一个 Rust 载荷，后者从 archivetj[.]com 获取 DLL 插件并在独立线程中执行其 'create_plugin' 函数。
修复不充分
Kaspersky 表示，所有 BlackX 受害者使用的都是完全打过补丁的 Windows 版本。然而，该 bootkit 仍然成功，因为管理员没有手动激活额外的 Secure Boot 吊销。
"Baton Drop 漏洞的补丁旨在吊销用于签名易受攻击 UEFI 组件的 'Windows Production PCA 2011' 证书，" Kaspersky 解释道。
"然而，这种吊销不会在补丁安装后自动发生——用户必须手动触发它。"
研究人员表示，这是更新过程中的一个缺口，因为管理员在应用安全更新后采取任何手动操作是极为罕见的。
他们认为，攻击者利用了这一缓解缺口，"决定投入时间了解 BlackLotus 的工作原理，并创建了这个 bootkit 的仿制品"。
完整修补 Baton Drop（CVE-2022-21894）的说明可在此处获取。
研究人员警告称，'Windows Production PCA 2011' 证书于 2026 年 10 月 19 日到期，除非管理员将该证书加入阻止列表，否则并不能阻止易受攻击的二进制文件在 Windows 系统上加载。