Ny UEFI-bootkit utnyttjar gammal sårbarhet för att kringgå säker start

macro shot of stainless steel padlock — Jose Fontano / Unsplash

En ny UEFI-bootkit med namnet BlackX har identifierats i en spionkampanj under början av år 2026. Denna skadliga programvara utnyttjar den äldre säkerhetsbristen Baton Drop för att kringgå funktionen Secure Boot och lasta in en drivrutin som är konstruerad för att störa säkerhetslösningar från specifika leverantörer. Operationen har med medelhög tillförsikt tillskrivits APT41, en kinesisk statsstödd hotgrupp som även är känd under andra beteckningar. Målen för attackerna var diplomatiska myndigheter i Centralasien, särskilt i Tadzjikistan, Uzbekistan och Turkmenistan.

Forskare har analyserat BlackX och funnit slående likheter med den tidigare bootkiten BlackLotus, som har cirkulerat på hackerforum sedan oktober 2022. Båda verktygen utnyttjar samma sårbarhet, CVE-2022-21894, för att registrera anpassade nycklar och ladda godtyckliga filer som kringgår skyddet för säker start. Trots dessa likheter använder BlackX en annan kärndrivrutin och andra efterföljande nyttolaster jämfört med BlackLotus. Analyser indikerar att BlackX antingen har skapats genom reverse engineering av BlackLotus eller genom att källkoden har förvärvats, eftersom vissa kodsegment som finns i BlackX saknades i den ofullständiga källkodsläckan av BlackLotus från juli 2023.

Den skadliga drivrutinen som levereras av BlackX är signerad med ett certifikat som nu har återkallats, vilket ursprungligen utfärdades till en organisation vid namn Wenjiang District Mingyu Network Technology Service Studio. När drivrutinen väl är installerad inaktiverar den säkerhetsrelaterade processer och registercallbacks samt manipulerar spårningsfunktioner i operativsystemet för att förhindra övervakning. Vissa av dessa manipuleringsprocedurer är konfigurerade att endast köras om produkter från Kaspersky eller Avast upptäcks på den infekterade datorn, även om mekanismen noteras vara verkningslös mot dessa företags lösningar. Dessutom skyddar drivrutinen bootkitens egna filer genom att fånga upp användarförfrågningar om att öppna dem och istället starta kalkylatorn i Windows.

En kritisk faktor för attackernas framgång är att alla offer använde en fullt uppdaterad version av Windows, men bootkiten lyckades ändå tränga in. Orsaken är att administratörer inte manuellt aktiverade de ytterligare återkallelser som krävs för Secure Boot. Patchen för sårbarheten Baton Drop är utformad för att återkalla certifikatet Windows Production PCA 2011, som används för att signera sårbara UEFI-komponenter. Denna återkallelse sker dock inte automatiskt vid installation av patchen, utan kräver manuell åtgärd från användaren. Forskare betonar att detta utgör ett gap i uppdateringsprocessen, eftersom det är mycket ovanligt att administratörer vidtar manuella steg efter att en säkerhetsuppdatering har installerats. Angriparen utnyttjade detta gap och lade ner tid på att förstå hur BlackLotus fungerar för att skapa en kopia.

Forskare varnar för att certifikatet Windows Production PCA 2011 löper ut den 19 oktober 2026, men att detta datum inte hindrar sårbara binärer från att laddas på Windows-system om inte administratörer aktivt lägger till certifikatet i en blocklista. Utan denna manuella åtgärd förblir systemen exponerade för attacker som utnyttjar denna specifika brist i startsekvensen, trots att officiella säkerhetsuppdateringar har applicerats.