Potrivit The Hacker News, organizații diplomatice din Tajikistan, Uzbekistan și Turkmenistan au fost țintite de un malware UEFI sofisticat numit BlackX în începutul anului 2026. Kaspersky atribuie atacurile unui grup de hackeri legat de China, cunoscut sub numele APT41. Obiectivul principal este să compromită sistemele de apărare Windows și soluțiile de securitate terță, menținând acces secret pe termen lung la dispozitivele infectate.
BlackX este o versiune actualizată a notoriului bootkit BlackLotus, care explică o vulnerabilitate din Secure Boot (CVE-2022-21894) numită Baton Drop. Atacatorii exploatează faptul că multe organizații nu au aplicat manual pașii de mitigare recomandați de Microsoft, în special adăugarea certificatului „Windows Production PCA 2011″ la lista interzisă.
Cercetătorii Kaspersky notează că executabilele vulnerabile continuă să se încarce chiar și pe sistemele cu patch-ul aplicat, deoarece certificatul nu a fost blocklist. Scenariul de atac implică compromiterea prealabilă a rețelei, obținerea de privilegii administrator și instalarea bootkit-ului prin fișiere executabile care exploatează vulnerabilitatea pentru a instala Machine Owner Keys și a interfera cu Secure Boot.
Codul sursei BlackLotus nu a fost niciodată făcut public, ceea ce sugerează că atacatorii au inginerivert malware-ul original sau au cumpărat codul. Payload-ul injectează un driver malicious semnat cu un certificat revocat, capabil să dezactiveze soluțiile de securitate și să desfășoare operații de spionaj cibernetic.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
