Дипломатические учреждения в Центральной Азии атаковали с помощью нового буткита BlackX, способного обходить Secure Boot даже на полностью обновлённых компьютерах с Windows. Злоумышленники использовали старую уязвимость Microsoft, защита от которой требует дополнительных действий администратора.
Специалисты «Лаборатории Касперского» обнаружили атаки в начале 2026 года. Целями стали дипломатические учреждения Таджикистана, Узбекистана и Туркменистана. Как показал анализ BlackX, злоумышленники пытались закрепиться в уже взломанных сетях и подготовить компьютеры к длительному кибершпионажу. Защитные решения компании заблокировали попытку отключить антивирус, сорвав дальнейшее развитие обнаруженной атаки.
Главная особенность BlackX заключается в способности вмешиваться в загрузку Windows ещё до запуска операционной системы. Такие программы называют буткитами. Получив контроль над ранними этапами загрузки, злоумышленники могут внедрять вредоносные драйверы в ядро Windows, обходить отдельные механизмы безопасности и сохранять присутствие на компьютере после перезагрузки. Обычные средства защиты при таком сценарии оказываются в заведомо невыгодном положении.
BlackX не предназначен для первоначального проникновения в сеть. Сначала атакующие получают доступ к инфраструктуре организации и захватывают учётную запись с правами администратора. Только после этого устанавливают буткит, который помогает закрепиться в системе и скрывать дальнейшую активность. Способ первоначального проникновения в дипломатические учреждения исследователи не раскрыли.
Для обхода Secure Boot атакующие использовали уязвимость CVE-2022-21894, известную как Baton Drop. Механизм безопасной загрузки должен проверять цифровые подписи компонентов, запускаемых до Windows, и блокировать недоверенный код. Однако BlackX воспроизводит подход более раннего буткита BlackLotus, позволяющий обойти проверку и зарегистрировать собственные ключи Machine Owner Key (MOK). После этого злоумышленники могут загружать подконтрольные компоненты EFI.
Самая неприятная деталь расследования обнаружилась при проверке заражённых компьютеров. Первоначально специалисты предположили, что администраторы просто не установили обновления безопасности. Проверка показала обратное. Все необходимые обновления Windows присутствовали, но системы по-прежнему позволяли эксплуатировать старую уязвимость. Причина заключалась в особенностях применения исправления Microsoft.
Для полноценной защиты от атак такого типа недостаточно установить очередное обновление Windows. Администратор должен дополнительно активировать отзыв старого сертификата Windows Production PCA 2011, которым подписаны уязвимые загрузочные компоненты. Согласно инструкции Microsoft, процедура включает изменение параметров реестра, обновление доверенных сертификатов и запуск специальной задачи Secure-Boot-Update.
Автоматический отзыв старых загрузчиков мог бы нарушить работу компьютеров с несколькими операционными системами, устаревшими средствами восстановления и несовместимыми компонентами загрузки. Поэтому Microsoft предусмотрела поэтапное применение защиты. Однако разработчики BlackX фактически воспользовались разрывом между установленным обновлением и реально активированной защитой. Администратор мог считать Windows защищённой, хотя уязвимые компоненты продолжали запускаться.
Дополнительную проблему создаёт сертификат Windows Production PCA 2011, срок действия которого истёк 19 октября 2026 года. Само истечение срока не мешает запуску старых подписанных загрузчиков, если сертификат не внесён в список отзыва Secure Boot. Исследователи указывают, что предусмотренный Microsoft этап принудительного применения соответствующих ограничений на момент публикации отчёта ещё не завершён.
Для установки BlackX злоумышленники использовали отдельный исполняемый файл и зашифрованный контейнер с необходимыми компонентами. Установщик сам по себе практически не содержал подозрительных строк или встроенной вредоносной нагрузки. Основные файлы находились в контейнере, защищённом алгоритмом RC4. Такое разделение затрудняло анализ программы и помогало скрывать её назначение от защитных средств.
После обхода Secure Boot буткит внедрял в Windows драйвер, подписанный сертификатом китайской организации Wenjiang District Mingyu Network Technology Service Studio. К моменту исследования сертификат уже был отозван. Драйвер пытался нарушать работу защитных программ, отключая механизмы наблюдения за процессами, потоками и изменениями реестра. Также вредонос вмешивался в работу Event Tracing for Windows (ETW), через который средства безопасности получают системные события.
Отдельные процедуры BlackX предназначались для противодействия продуктам «Лаборатории Касперского» и Avast. Однако динамический анализ показал, что соответствующие попытки не мешали работе защиты «Лаборатории Касперского». Дополнительно драйвер скрывал собственные файлы необычным способом. При попытке открыть вредоносный файл программа подменяла результат и возвращала доступ к стандартному калькулятору Windows calc.exe.
После закрепления буткит мог запускать шпионские модули. Исследователи обнаружили троянец удалённого доступа, который использовал Google Drive, OneDrive и Яндекс Диск для обмена командами с операторами. Через обычные облачные хранилища злоумышленники могли передавать дополнительные .NET-модули, загружать файлы на заражённые компьютеры и получать собранную информацию. Такой канал связи позволяет маскировать вредоносный трафик под обращения к популярным легитимным сервисам.
Вторым обнаруженным компонентом стала библиотека OxiDLLRunner. Для её запуска злоумышленники использовали легитимный исполняемый файл, замаскированный под Google Update. Библиотека расшифровывала дополнительную нагрузку, включавшую модуль на языке Rust для связи с управляющим сервером archivetj.com. Через сервер операторы могли получать и запускать новые DLL-модули, расширяя возможности заражённой системы без замены самого буткита.
Исследователи со средней степенью уверенности связывают кампанию с китайскоязычной группировкой APT41. Основанием стали особенности вредоносного кода и пересечения с операциями FishMonger, которую также связывают с китайскими кибершпионскими структурами. В июне 2026 года специалисты ESET описали SprySOCKS, шпионский инструмент FishMonger, и обнаружили косвенные признаки использования неизвестного UEFI-буткита.
Одним из совпадений стал идентификатор xdd, встречавшийся как в исследованных ESET компонентах, так и в нагрузках BlackX. Дополнительными признаками стали характерная загрузка вредоносных DLL через легитимные приложения и применение обфускатора OLLVM. Совокупность находок позволяет предположить связь двух кампаний, но не доказывает окончательно, что за атаками на дипломатические учреждения стояла именно APT41.
BlackX представляет собой переработанную версию BlackLotus, получившего известность ещё в 2022 году. Тогда неизвестный продавец предлагал UEFI-буткит на подпольном форуме за 5000 долларов. Первоначально специалисты сомневались, что столь сложная программа может стоить настолько дёшево, однако в марте 2023 года ESET подтвердила существование работоспособных образцов. После выхода исправлений Microsoft публичных сообщений об атаках с BlackLotus практически не появлялось.
Новый вариант сохранил основную схему обхода Secure Boot, но получил другой драйвер и собственные шпионские компоненты. Исследователи допускают, что разработчики BlackX могли самостоятельно восстановить принципы работы BlackLotus или получить доступ к его исходному коду. Подтвердить происхождение новой версии пока не удалось. Сам факт повторного использования коммерческого буткита показывает, как инструменты киберпреступников могут переходить в арсенал группировок, занимающихся целевым шпионажем.
Для корпоративных администраторов расследование BlackX выявило проблему, которая выходит далеко за пределы атак на дипломатические учреждения. Наличие последних обновлений Windows ещё не гарантирует, что все предусмотренные механизмы защиты действительно работают. Организациям необходимо проверить состояние Secure Boot, доверенные сертификаты и список отозванных загрузчиков, а также убедиться, что меры против CVE-2022-21894 и CVE-2023-24932 полностью применены. Дополнительно специалисты рекомендуют ограничивать административные права и контролировать изменения в загрузочных разделах компьютеров.