بوت‌کیت BlackX که یک بوت کیت UEFI است، از آسیب‌پذیری Baton Drop برای دور زدن قابلیت Secure Boot بهره‌برداری می‌کند.
یک بوت‌کیت جدید UEFI به نام BlackX که در اوایل سال ۲۰۲۶ در یک کمپین جاسوسی مستقر شد، از آسیب‌پذیری قدیمی Baton Drop برای دور زدن Secure Boot و بارگذاری یک درایور مخرب که برای تداخل با راه‌حل‌های امنیتی Kaspersky و Avast طراحی شده بود، سوءاستفاده کرد.
این عملیات نه به طور قطع اما به APT41، یک گروه تهدید چینی که با نام‌های Brass Typhoon، Wicked Panda و Barium نیز شناخته می‌شود، نسبت داده شده است. این گروه در اوایل سال ۲۰۲۶ کشف شد و سازمانهای مختلف در آسیای میانه، به ویژه در تاجیکستان، ازبکستان و ترکمنستان را هدف قرار داد.
محققان Kaspersky بوت‌کیت BlackX را تجزیه و تحلیل کردند و شباهت‌هایی با BlackLotus یافتند که از اکتبر 2022 در انجمن‌های هکرها منتشر شده است و از آسیب‌پذیری Baton Drop (CVE-2022-21894) برای دور زدن محافظت از بوت امن استفاده می‌کرد.
ESET در مارس 2023 تأیید کرد که BlackLotus از Baton Drop سوءاستفاده کرده است و در آن زمان می‌توانست حتی سیستم‌های ویندوز 11 کاملاً وصله شده را نیز به خطر بیندازد.
به گفته محققان Kaspersky، پیاده‌سازی این اکسپلویت توسط BlackX تا حد زیادی مشابه روشی است که توسط BlackLotus استفاده می‌شود و به مهاجم اجازه می‌دهد Machine Owner Keys (MOK) سفارشی را ثبت کند و فایل‌های EFI دلخواه را برای دور زدن محافظت از Secure Boot بارگذاری کند.
با این حال، BlackX با BlackLotus متفاوت است و درایور هسته و بارهای داده‌ی متفاوتی را مستقر می‌کند. Kaspersky اظهار می‌کند که BlackX یا از مهندسی معکوس BlackLotus یا از کد منبع آن گرفته شده است.
اگرچه کد منبع BlackLotus در جولای 2023 فاش شد، اما انتشار آن ناقص بود. محققان Kaspersky دریافتند که برخی از نمونه‌های BlackLotus که آنها تجزیه و تحلیل کردند، حاوی کدی بودند که در مخزن عمومی وجود نداشت اما در بوت‌کیت BlackX وجود داشت.
از آنجایی که اپراتور BlackX نمی‌توانسته این کد را از مخزن افشا شده به دست آورده باشد، محققان معتقدند که مهاجم یا BlackLotus را مهندسی معکوس کرده یا کد منبع آن را خریداری کرده است.
قابلیت‌های BlackX
BlackX یک درایور هسته ویندوز مخرب را که با یک گواهی‌نامه‌ی لغو شده‌ی صادر شده برای سازمانی به نام Wenjiang District Mingyu Network Technology Service Studio امضا شده است، تزریق می‌کند.
این درایور فرآیندهای مربوط به امنیت و فراخوانی‌های رجیستری را غیرفعال می‌کند و با دستکاری ارائه‌دهندگان Event Tracing for Windows (ETW) مانع از نظارت می‌شود.
محققان خاطرنشان می‌کنند که برخی از رویه‌های دستکاری طوری پیکربندی شده‌اند که فقط در صورت شناسایی محصولات Kaspersky یا Avast در میزبان هدف اجرا شوند و افزودند که این مکانیسم در برابر راه‌حل‌های این شرکت بی‌فایده است.
این درایور همچنین با رهگیری درخواست‌های کاربر برای باز کردن فایل‌های بوت‌کیت و راه‌اندازی ماشین حساب ویندوز به جای آنها، از آنها محافظت می‌کند.
هدف آن همچنین استقرار پی‌لودهای جاسوسی زیر در دستگاه‌های آلوده است:
یک RAT که از Google Drive، OneDrive یا Yandex.Disk برای فرمان و کنترل (C2) برای اجرای پی‌لودهای .NET و آپلود و دانلود فایل‌ها استفاده می‌کند.
OxiDLLRunner، یک DLL مبهم‌سازی‌شده با OLLVM که توسط googleupdate.exe بارگذاری جانبی شده است. این فایل v8_context_snapshot.bin را رمزگشایی می‌کند تا shellcode و یک payload از Rust را اجرا کند که افزونه‌های DLL را از archivetj[.]com بازیابی کرده و توابع «create_plugin» آنها را در threadهای جداگانه اجرا می‌کند.
رفع ناقص آسیب پذیری
Kaspersky می‌گوید که همه قربانیان BlackX از یک نسخه ویندوز کاملاً وصله شده استفاده کرده‌اند. با این حال، بوت‌کیت همچنان موفق بوده است زیرا مدیران سیستم به صورت دستی Secure Boot revocations را فعال نکرده‌اند.
Kaspersky توضیح می‌دهد: «وصله آسیب‌پذیری Baton Drop برای لغو گواهی «Windows Production PCA 2011» که برای امضای اجزای آسیب‌پذیر UEFI استفاده می‌شود، طراحی شده است. با این حال، این لغو به طور خودکار پس از نصب پچ اتفاق نمی‌افتد – کاربر باید آن را به صورت دستی فعال کند.»
محققان می‌گویند این یک شکاف در فرآیند به‌روزرسانی است، زیرا انجام هرگونه اقدام دستی پس از اعمال به‌روزرسانی امنیتی توسط مدیران بسیار غیرمعمول است.
آنها معتقدند که مهاجم از این شکاف کاهش خطر به نفع خود استفاده کرده و «تصمیم گرفته است برای درک نحوه کار BlackLotus و ایجاد یک کپی از این بوت‌کیت وقت بگذارد.»
دستورالعمل‌های مربوط به وصله کامل Baton Drop (CVE-2022-21894) در اینجا موجود است.
محققان هشدار می‌دهند که تاریخ انقضای گواهی «Windows Production PCA 2011» که در ۱۹ اکتبر ۲۰۲۶ است، مانع از بارگیری فایل‌های باینری آسیب‌پذیر در سیستم‌های ویندوز نمی‌شود، مگر اینکه مدیران سیستم این گواهی را به black list اضافه کنند.
منبع: