Буткит BlackX, который описала Kaspersky, в начале 2026 года заражал машины дипломатических ведомств Таджикистана, Узбекистана и Туркменистана. Он обходит Secure Boot через старую уязвимость Baton Drop (CVE-2022-21894). Патч у жертв стоял, но обязательный ручной шаг — отзыв сертификата Windows Production PCA 2011 — никто не выполнил.
Коротко
- Kaspersky нашла UEFI-буткит BlackX в шпионской кампании начала 2026 года против дипведомств Таджикистана, Узбекистана и Туркменистана.
- BlackX обходит Secure Boot через Baton Drop (CVE-2022-21894).
- Патч отзывает сертификат Windows Production PCA 2011 только при ручном запуске; истечение его срока 19 октября 2026 года загрузку уязвимых компонентов не останавливает.
- Обход почти повторяет BlackLotus, а драйвер и нагрузки свои.
- Атрибуция APT41 — со средней уверенностью.
Что такое буткит BlackX и кого он атаковал
BlackX — ранее не описанный UEFI-буткит, который исследователи Kaspersky нашли в шпионской кампании начала 2026 года. Он загружается до Windows и перехватывает управление раньше драйверов и служб защиты.
Цели — дипломатические ведомства Таджикистана, Узбекистана и Туркменистана. Сколько организаций и машин пострадало, Kaspersky не сообщает.
На всех известных заражённых машинах стояла полностью обновлённая Windows. В отчёте WSUS или SCCM такие машины выглядят защищёнными, хотя загрузочная цепочка у них открыта.
Почему пропатченная Windows всё равно загрузила буткит?
Потому что патч отзывает сертификат Windows Production PCA 2011, которым подписаны уязвимые UEFI-компоненты, только при ручном запуске. «Этот отзыв не происходит автоматически при установке патча — пользователь должен запустить его вручную», — объясняют в Kaspersky.
Обновление самой Windows и обновление базы запрещённых подписей Secure Boot (dbx) — разные этапы. Машина может годами получать ежемесячные исправления и по-прежнему доверять старому подписанному загрузчику. Kaspersky называет это пробелом в процессе обновления: после установки патча администраторы почти никогда ничего не делают руками.
По оценке исследователей, авторы BlackX этим пробелом и воспользовались: потратили время, чтобы разобраться в устройстве BlackLotus, и собрали его копию.
Истечение срока действия сертификата тоже не спасает. Срок Windows Production PCA 2011 закончился 19 октября 2026 года, но, как предупреждает Kaspersky, уязвимые бинарники это не останавливает. Их блокирует только занесение сертификата в dbx.
Связан ли BlackX с буткитом BlackLotus?
Да: обход Secure Boot в BlackX почти повторяет приём BlackLotus, но остальная цепочка своя. BlackLotus ходит по хакерским форумам с октября 2022 года и тоже опирается на Baton Drop. В марте 2023 года ESET подтвердила, что он мог заражать даже полностью обновлённую Windows 11.
Реализацию эксплойта в BlackX Kaspersky называет «удивительно похожей» на BlackLotus: атакующий регистрирует собственные ключи Machine Owner Key (MOK) и загружает произвольные EFI-файлы в обход Secure Boot. Драйвер ядра и последующие нагрузки при этом другие.
Откуда код? Исходники BlackLotus утекли в июле 2023 года, но утечка была неполной. В части образцов BlackLotus исследователи нашли код, которого в утечке нет, — и он же есть в BlackX. Отсюда их вывод, пока не доказанный: автор BlackX либо разобрал BlackLotus реверсом, либо купил исходники.
Как BlackX ослепляет защиту и что приходит следом
BlackX загружает драйвер ядра, подписанный ныне отозванным сертификатом организации Wenjiang District Mingyu Network Technology Service Studio. Что делает драйвер:
- отключает процессы защитного ПО и обратные вызовы (callback) реестра;
- правит провайдеры Event Tracing for Windows (ETW), чтобы ослепить мониторинг;
- вместо открытия файлов буткита запускает calc.exe.
Часть этих манипуляций срабатывает, только если на машине обнаружены продукты Kaspersky или Avast. По словам Kaspersky, против её решений механизм бесполезен.
На наш взгляд, отзыв сертификата сам по себе драйвер с заражённой машины не удаляет. Имя издателя — зацепка для поиска, а не признак того, что угроза снята.
Дальше идут шпионские нагрузки. Троян удалённого доступа получает команды через Google Drive, OneDrive или Яндекс.Диск, запускает .NET-модули, скачивает и отправляет файлы. OxiDLLRunner — обфусцированная OLLVM библиотека, которую подгружает googleupdate.exe. Она расшифровывает v8_context_snapshot.bin, запускает шелл-код и модуль на Rust, а тот скачивает DLL-плагины с сервера атакующих.
Управляющий трафик похож на обычную работу с облачными хранилищами, поэтому блокировка по репутации доменов мало что даст. Облачный трафик нужно связывать с процессом, который его порождает.
Кому приписывают кампанию и что остаётся неизвестным
Kaspersky со средней уверенностью связывает кампанию с APT41 — группой, которую считают спонсируемой государством КНР. Другие её названия — Brass Typhoon, Wicked Panda и Barium. Основания атрибуции в доступных материалах не раскрыты, так что это рабочая гипотеза.
Неизвестны число жертв, способ первоначального проникновения и то, ограничилась ли кампания дипломатами трёх стран. Раз приём BlackLotus удалось повторить, им могут воспользоваться и другие группы — при поиске следов не ограничивайтесь индикаторами APT41.
Что проверить, если обновления уже стоят?
Проверяйте не установку патча, а состояние Secure Boot: включён ли он и внесён ли Windows Production PCA 2011 в dbx. Порядок отзыва описан в руководстве Microsoft по этому сертификату. Команды ниже запускают в PowerShell от администратора.
- Secure Boot включён. Confirm-SecureBootUEFI возвращает True. То же видно в реестре: HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\State, параметр UEFISecureBootEnabled равен 1.
- Отзыв выполнен. [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match ‘Microsoft Windows Production PCA 2011’ должна вернуть True. False означает, что сертификата в dbx нет и машина доверяет уязвимым загрузчикам.
- Тестовая группа. Отзыв меняет загрузочную цепочку: старые носители восстановления, установочные образы и сетевая загрузка могут перестать работать. Отдельно проверьте устройства, где прошивка не даёт обновить dbx, и виртуальные машины с Secure Boot.
- Приоритеты. Сначала — ноутбуки руководства, рабочие станции администраторов и машины с доступом к значимым системам.
- Поиск следов. Драйверы с подписью Wenjiang District Mingyu, посторонние DLL в процессе googleupdate.exe и индикаторы из отчёта Kaspersky.
На аудитах безопасности сети мы регулярно видим, что Secure Boot в чек-листе отмечен как «включён», а dbx не обновляли с момента закупки техники.
Если буткит мог закрепиться, переустановка Windows не гарантирует очистку. Сохраните память, диск, системный раздел EFI и переменные UEFI, затем подключайте реагирование на инцидент и разбор образца вредоносного ПО. Если машина входит в значимый объект КИИ, об инциденте сообщают в НКЦКИ в порядке и сроки, установленные по 187-ФЗ.
Начните с проверки dbx на десятке машин. Если запрос не находит там PCA 2011, картина у вас та же, что у жертв BlackX.
Частые вопросы
Достаточно ли установить все обновления Windows, чтобы закрыть Baton Drop?
Нет. Без ручного отзыва Windows Production PCA 2011 по инструкции Microsoft уязвимые загрузчики остаются доверенными.
Как проверить, выполнен ли отзыв?
Прочитать dbx командой Get-SecureBootUEFI и найти в ней запись Microsoft Windows Production PCA 2011. Нет записи — отзыв не выполнен.
Помогает ли истечение срока Windows Production PCA 2011?
Нет. Срок закончился 19 октября 2026 года, но уязвимые бинарники загружаются, пока сертификат не занесён в dbx.
BlackX — это переименованный BlackLotus?
Нет. Обход Secure Boot почти одинаковый, но драйвер ядра и нагрузки у BlackX свои. В нём также есть код BlackLotus, которого не было в утечке июля 2023 года.
Что делать при подозрении на UEFI-буткит?
Не переустанавливать Windows сразу. Сохранить память, диск, системный раздел EFI и переменные UEFI, провести расследование и восстановить доверенную загрузочную цепочку.
SecurityLab.pro проверяет загрузочную цепочку и dbx на парке Windows, разбирает подозрительные машины и помогает в защите значимых объектов КИИ — чтобы установленный патч действительно закрывал уязвимость.