BlackX UEFI Bootkit bypassa l'avvio sicuro su sistemi Windows patchati con revoche

BlackX UEFI Bootkit Bypass Secure Boot on Patched Windows Systems Missing Revocations Ravie Lakshmanan 23 ottobre 2026 Malware / Cyber Espionage Le organizzazioni diplomatiche in Asia centrale sono state prese di mira da un nuovo sofisticato bootkit Unified Extensible Firmware Interface (UEFI) chiamato BlackX

L’attività, che ha individuato entità diplomatiche in Tagikistan, Uzbekistan e Turkmenistan all’inizio del 2026, è sospettata di essere orchestrata da un gruppo di hacker sponsorizzato dallo stato cinese noto come APT41, ha detto Kaspersky in un rapporto tecnico pubblicato questa settimana.

L’obiettivo principale dietro la distribuzione del malware è quello di minare le difese di avvio di Microsoft Windows, insieme a soluzioni di sicurezza di terze parti, mantenendo l’accesso segreto a lungo termine ai dispositivi compromessi

In particolare, BlackX è valutato come una versione aggiornata di BlackLotus, un famigerato bootkit che è stato osservato per la prima volta essere pubblicizzato sui forum di criminalità informatica alla fine del 2022, prima che la sua esistenza fosse ufficialmente confermata da ESET nel marzo 2023. BlackLotus è progettato per sfruttare una vulnerabilità di bypass Secure Boot ora patchata tracciata come CVE-2022-21894 (punteggio CVSS: 4.

4), nota anche come Baton Drop, per caricare codice dannoso prima dell’avvio del sistema operativo

. Tuttavia, lo sfruttamento di successo dipende da un utente malintenzionato con privilegi di amministratore o accesso fisico a un host di destinazione. «È fondamentale notare che l’uso di questo bootkit da parte di un attore di minacce è principalmente un meccanismo di persistenza ed evasione della difesa», ha osservato Microsoft all’epoca

«Non è un payload di primo stadio o un vettore di accesso iniziale e può essere distribuito solo su un dispositivo a cui un attore di minacce ha già ottenuto l’accesso privilegiato o l’accesso fisico.

» Detto questo, affrontare completamente la minaccia richiede azioni aggiuntive oltre all’installazione dell’ultimo aggiornamento, inclusa l’esecuzione di passaggi manuali per applicare le mitigazioni della revoca dell’avvio sicuro di Microsoft, come l’aggiunta del certificato «Windows Production PCA 2011» al Secure Boot UEFI Forbidden

List (DBX). La società russa di sicurezza informatica ha scoperto che gli aggressori stanno sfruttando il fatto che le organizzazioni non hanno eseguito questi passaggi manuali, consentendo loro di utilizzare ancora la vulnerabilità Baton Drop anche su sistemi a cui è stata applicata la «patch»

«Il 19 ottobre 2026, questo certificato è scaduto, ma ciò non impedisce il caricamento dei binari vulnerabili a meno che il certificato non sia bloccato», hanno detto i ricercatori Georgy Kucherin, Vladimir Nestor e Vasily Berdnikov. "È probabile che l’attore della minaccia dietro questa campagna abbia tenuto conto del fatto che poche organizzazioni si sono rese conto dell’importanza di attivare manualmente la patch Baton Drop

. In quanto tale, riteniamo che abbiano deciso di investire del tempo per capire come funziona BlackLotus e creare un copycat di questo bootkit."È stato osservato che gli aggressori implementano BlackX dopo aver violato le reti delle vittime attraverso un metodo non specificato e aver ottenuto privilegi di amministratore

. Per installare il bootkit, l’attore della minaccia rilascia i seguenti file: inst.exe, un eseguibile del programma di installazione PVMDIJGKAX2, un file senza estensione crittografato contenente file e stringhe necessari per l’installazione Il programma di installazione viene quindi avviato tramite riga di comando come «C:\ProgramData\ Intel\ inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1», dove «Q46F6MDLI3RX2KV1» è la chiave RC4 utilizzata per la decrittografia

. Il binario rilascia quindi file aggiuntivi sia al sistema che alle partizioni UEFI per sfruttare CVE-2022-21894 in un modo «notevolmente simile» a quello utilizzato in BlackLotus. L’obiettivo finale rimane lo stesso: installare Machine Owner Keys (MOK) per caricare file EFI arbitrari sugli host infetti e interferire con Secure Boot

. La cosa interessante qui è che il codice sorgente di BlackLotus non è mai entrato nel pubblico dominio, indicando che gli attori delle minacce dietro BlackX hanno decodificato il bootkit originale o acquistato il suo codice sorgente da un’altra parte. «Ad ogni modo, questa è un’osservazione interessante, poiché raramente vediamo attori APT prendere in prestito idee o codice da attori del crimine informatico», ha affermato Kaspersky

. Il payload UEFI fornito a seguito dello sfruttamento della vulnerabilità è progettato per iniettare un driver dannoso nel kernel di Windows. Il conducente è stato firmato con un certificato appartenente a una società denominata Wenjiang District Mingyu Network Technology Service Studio. Il certificato è stato successivamente revocato dall’emittente

. Come nel caso dell’attacco bring your own vulnerable driver (BYOVD), il driver tenta di manomettere il funzionamento del software di sicurezza degli endpoint installato sulla macchina. In una svolta interessante, alcune delle modifiche non autorizzate possono essere eseguite solo se sono presenti programmi di sicurezza associati a Kaspersky o Avast. Tuttavia, l’analisi di Kaspersky ha rilevato che queste routine sono inefficaci

. Non solo accontentarsi di cercare di rendere inefficaci le soluzioni di sicurezza, il driver rilascia anche un payload in modalità utente per lo spionaggio informatico. Sono stati osservati due di questi payload: un trojan di accesso remoto in grado di fornire payload. NET aggiuntivi, utilizzando Google Drive, OneDrive e Yandex. Disk per il comando e il controllo (C2) per integrarsi con i normali flussi di lavoro aziendali. È inoltre attrezzato per raccogliere informazioni sul sistema e caricare file di interesse