Sikkerhet · 27. oktober 2026
Ny UEFI-oppstartspakke utnytter gammel feil for å omgå sikker oppstart
En ny skadelig programvare kalt BlackX, som er en såkalt oppstartspakke for UEFI-systemer, ble tatt i bruk i en spionasjekampanje tidlig i 2026 for å utnytte den gamle sikkerhetsfeilen kjent som Baton Drop. Denne angrepsmetoden tillot trusselaktørene å omgå beskyttelsen fra Sikker Oppstart og laste inn en ondsinnet drivert fil designet for å forstyrre sikkerhetsløsninger fra Kaspersky og Avast. Angrepet har med middels sikkerhet blitt tilskrevet gruppen APT41, en kinesisk statssponset trusselgruppe som også opererer under navnene Brass Typhoon, Wicked Panda og Barium.
Kampanjen ble oppdaget tidlig i 2026 og rettet seg spesifikt mot diplomatiske byråer i Sentral-Asia, med særlig fokus på mål i Tadsjikistan, Usbekistan og Turkmenistan. Forskere fra Kaspersky analyserte den nye oppstartspakken og fant slående likheter med en tidligere variant kalt BlackLotus, som har sirkulert på hackerforumer siden oktober 2022. Både den nye og den gamle varianten utnytter den samme sårbarheten, identifisert som CVE-2022-21894, for å bryte gjennom beskyttelsen av Sikker Oppstart. Det ble bekreftet allerede i mars 2023 at den tidligere varianten kunne kompromittere selv fullt oppdaterte systemer som kjører Windows 11.
Implementeringen av utnyttelsen i den nye varianten er beskrevet av forskere som bemerkelsesverdig lik den som ble brukt av den tidligere varianten. Dette gir angriperen mulighet til å registrere egendefinerte nøkler for maskineiere og laste inn vilkårlige EFI-filer for å omgå sikkerhetsmekanismene. Til tross for likhetene skiller den nye varianten seg ut ved å bruke en annen kjerndriver og andre påfølgende nyttelaster. Analyser tyder på at den nye trusselen enten er derivert fra reversering av den tidligere koden eller er laget direkte fra kildekoden. Selv om kildekoden for den tidligere varianten ble lekket i juli 2023, var denne utgivelsen ufullstendig. Forskere fant kode i de nye prøvene som manglet i det offentlige arkivet, noe som fører til konklusjonen om at angriperen enten har reversert koden eller kjøpt den komplette kildekoden.
Den ondsinnede driveren som injiseres er signert med et sertifikat som nå er tilbakekalt, men som opprinnelig ble utstedt til en organisasjon ved navn Wenjiang District Mingyu Network Technology Service Studio. Denne driveren deaktiverer sikkerhetsrelaterte prosesser og registeroppringinger, samt manipulerer leverandører for sporing av hendelser i Windows for å hindre overvåking. Noen av disse manipulasjonsprosedyrene er konfigurert til kun å kjøre hvis produkter fra Kaspersky eller Avast oppdages på vertsmaskinen, selv om mekanismen er nytteløs mot selskapenes egne løsninger. Driveren beskytter også filene til oppstartspakken ved å fange opp brukerforespørsler om å åpne dem og i stedet starte Windows-kalkulatoren.
Alle ofre for denne kampanjen brukte en fullt oppdatert utgave av Windows-operativsystemet, likevel lyktes angrepet fordi administratorer ikke manuelt aktiverte de ekstra tilbakekallingene for Sikker Oppstart. Patchen for sikkerhetsfeilen er designet for å tilbakekalle sertifikatet kalt Windows Production PCA 2011, som ble brukt til å signere sårbare UEFI-komponenter. Denne tilbakekallingen skjer imidlertid ikke automatisk ved installasjon av oppdateringen, men krever at brukeren utløser den manuelt. Forskere påpeker at dette utgjør et gap i oppdateringsprosessen, siden det er svært uvanlig at administratorer utfører manuelle handlinger etter å ha installert en sikkerhetsoppdatering. Angriperen utnyttet dette gapet og investerte tid i å forstå hvordan den tidligere varianten fungerte for å lage en kopi.
Forskere advarer om at utløpsdatoen for sertifikatet den 19. oktober 2026 ikke stopper sårbare binærfiler fra å lastes inn på Windows-systemer med mindre administratorer eksplisitt legger sertifikatet til en blokkeringsliste. Uten slike manuelle tiltak forblir systemene sårbare for denne type angrep til tross for installerte sikkerhetsoppdateringer.