Un sofisticato UEFI bootkit, denominato BlackX e attribuito con media confidenza al gruppo di spionaggio cinese APT41, sta prendendo di mira organizzazioni diplomatiche in Asia Centrale. La minaccia sfrutta una vulnerabilità nel meccanismo di Secure Boot di Windows, rendendo i sistemi vulnerabili anche se completamente aggiornati.
Ricercatori di sicurezza hanno identificato una nuova e preoccupante minaccia informatica, un UEFI bootkit chiamato BlackX, che si ritiene sia stato sviluppato e impiegato dal noto gruppo di APT (Advanced Persistent Threat) cinese APT41. Le prime segnalazioni indicano che questo malware sia stato utilizzato in attacchi mirati contro organizzazioni diplomatiche in Tagikistan, Uzbekistan e Turkmenistan.
BlackX presenta notevoli somiglianze con un altro bootkit, BlackLotus, emerso sul dark web nell'ottobre 2022 e pubblicizzato per 5.000 dollari. ESET, che aveva analizzato BlackLotus nel marzo 2023, aveva evidenziato come questo sfruttasse la vulnerabilità CVE-2022-21894, nota anche come Baton Drop. Sebbene Microsoft avesse rilasciato una patch per questa falla nel gennaio 2022, gli aggressori sono stati in grado di aggirare la protezione introducendo componenti di avvio legittimamente firmati ma non revocati.
Kaspersky, che ha scoperto la campagna di BlackX all'inizio del 2026, ha osservato analogie significative con BlackLotus, pur notando differenze nell'implementazione. Questo suggerisce che gli sviluppatori di BlackX potrebbero aver avuto accesso al codice sorgente di BlackLotus o aver condotto un'approfondita attività di reverse engineering, piuttosto che una collaborazione diretta.
L'operazione di BlackX inizia dopo che gli attaccanti hanno ottenuto l'accesso alla rete e acquisito i privilegi di amministratore. L'installer del malware, denominato inst.exe, opera in congiunzione con un contenitore senza estensione, crittografato con RC4 e identificato come PVMDIJGKAX2. La chiave di decrittazione osservata durante le analisi è Q46F6MDLI3RX2KV1. Mantenere i componenti di installazione separati dall'eseguibile principale rende più complessa l'analisi forense e il recupero dei dati in caso di compromissione.
La catena di installazione di BlackX posiziona i suoi componenti sia sulla partizione di Windows che su quella EFI. Successivamente, sfrutta la vulnerabilità Baton Drop (CVE-2022-21894) per registrare le Machine Owner Keys controllate dall'attaccante. Queste chiavi manipolate permettono il caricamento di applicazioni EFI malevole durante il processo di avvio del sistema, compromettendo la catena di fiducia di Secure Boot.
La falla centrale sfruttata da BlackX risiede in una lacuna nella protezione di Secure Boot di Windows. Anche i sistemi completamente patchati rimangono esposti se gli amministratori non hanno attivato esplicitamente le revoche dei bootloader. Microsoft ha fornito indicazioni per mitigare questo rischio, ma queste misure, come l'aggiornamento dei database di fiducia di Secure Boot e la revoca esplicita di specifici certificati tramite il database forbidden-signature (DBX), non sono abilitate di default.
Una volta installato, BlackX inietta un driver malevolo nel kernel di Windows. A differenza del driver di BlackLotus, questo componente è stato firmato con un certificato appartenente a "Wenjiang District Mingyu Network Technology Service Studio". Sebbene questo certificato sia stato successivamente revocato, la sua presenza iniziale ha permesso al malware di eludere i controlli di sicurezza.
Il driver malevolo disabilita le callback relative alla sicurezza per processi, thread e registri, interferendo anche con i provider di Event Tracing for Windows (ETW). Inoltre, protegge i file del bootkit reindirizzando i tentativi di accesso verso calc.exe, un tentativo di mascheramento.
I ricercatori hanno identificato due payload in user-mode. Il primo è un trojan di accesso remoto (RAT) che utilizza servizi cloud come Google Drive, OneDrive o Yandex.Disk per le comunicazioni di comando e controllo (C2). Le istruzioni e i risultati vengono identificati tramite suffissi di file, consentendo l'esecuzione di codice .NET aggiuntivo, il trasferimento di file e la raccolta di informazioni iniziali sul sistema.
Il secondo payload, chiamato OxiDLLRunner, impiega tecniche di offuscamento come OLLVM e sfrutta il DLL sideloading attraverso un eseguibile legittimo rinominato googleupdate.exe. Questo componente decrittografa un file (v8_context_snapshot.bin) per rivelare uno shellcode e un payload scritto in Rust, che comunica con il server C2 www[.]archivetj[.]com. I plugin DLL scaricati esportano funzioni specifiche (create_plugin) per essere eseguite in thread separati.
L'attribuzione dell'attacco ad APT41 si basa in parte sull'identificativo "xdd", riscontrato anche in un percorso di sviluppo di driver documentato in ricerche precedenti. Esistono anche indicazioni limitate di un bootkit non specificato che potrebbe aver sfruttato la vulnerabilità CVE-2023-24932, e BlackX potrebbe essere la causa di tali osservazioni, sebbene la connessione rimanga inferenziale.
La mitigazione di questa minaccia richiede un approccio proattivo da parte degli amministratori di sistema. È fondamentale validare lo stato di revoca dei componenti di avvio e seguire le indicazioni di Microsoft per l'implementazione graduale delle patch, che include l'aggiornamento dei supporti di ripristino e test approfonditi di compatibilità dell'avvio. L'applicazione delle revoche senza la preparazione di componenti sostitutivi attendibili può impedire l'avvio dei sistemi, rendendo essenziale un rollout controllato e una verifica accurata.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
