← Все новости

Безопасность ·

UEFI-буткит BlackX обходит Secure Boot через старую уязвимость Baton DropBlackX UEFI bootkit bypasses Secure Boot via the old Baton Drop flaw

Kaspersky описал буткит BlackX, который с начала 2026 года атакует дипломатические ведомства Центральной Азии. Он использует CVE-2022-21894 — и одного патча для неё недостаточно: нужно вручную отозвать сертификат Windows Production PCA 2011.Kaspersky described BlackX, a bootkit targeting Central Asian diplomatic agencies since early 2026. It abuses CVE-2022-21894 — and patching that flaw alone is not enough: the Windows Production PCA 2011 certificate must be revoked manually.

24 октября «Лаборатория Касперского» опубликовала анализ UEFI-буткита BlackX. С умеренной уверенностью его связывают с группировкой APT41; цели — дипломатические ведомства Таджикистана, Узбекистана и Туркменистана, активность — с начала 2026 года.

Как работает

  • Эксплуатирует Baton Drop (CVE-2022-21894) — уязвимость загрузчика Windows, позволяющую обойти Secure Boot.
  • Регистрирует собственные ключи Machine Owner Key и загружает драйвер, подписанный отозванным сертификатом, который отключает защитные средства.
  • Нагрузки: RAT, использующий Google Drive, OneDrive или Яндекс.Диск как командный канал, и OxiDLLRunner, подгружаемый через googleupdate.exe.

Почему патча мало

Уязвимый загрузчик подписан доверенным сертификатом, поэтому атакующий может просто принести старую версию. Исправление Baton Drop этого не предотвращает — нужно отозвать сертификат «Windows Production PCA 2011» по инструкции Microsoft об отзыве boot manager. Это делается вручную и требует аккуратности: неправильный порядок шагов может сделать систему незагружаемой.

Что делать

Организациям из зоны риска — выполнить процедуру отзыва по руководству Microsoft, проверить список MOK-ключей на посторонние записи и включить мониторинг целостности загрузки.

On Oct 24 Kaspersky published an analysis of the BlackX UEFI bootkit. It is attributed with medium confidence to APT41; targets are diplomatic agencies in Tajikistan, Uzbekistan and Turkmenistan, active since early 2026.

How it works

  • It exploits Baton Drop (CVE-2022-21894), a Windows boot loader flaw that bypasses Secure Boot.
  • It enrolls its own Machine Owner Keys and loads a driver signed with a revoked certificate that disables security tools.
  • Payloads: a RAT using Google Drive, OneDrive or Yandex.Disk for command and control, and OxiDLLRunner sideloaded via googleupdate.exe.

Why the patch is not enough

The vulnerable boot loader is signed with a trusted certificate, so an attacker can simply bring the old version. Patching Baton Drop does not stop that — the “Windows Production PCA 2011” certificate must be revoked following Microsoft’s boot manager revocation guidance. It is a manual process that needs care: getting the steps wrong can leave a system unbootable.

What to do

At-risk organisations should follow Microsoft’s revocation procedure, check the MOK list for unknown entries, and enable boot integrity monitoring.

Источники