BlackX je novi UEFI bootkit korišten protiv diplomatskih organizacija u Tadžikistanu, Uzbekistanu i Turkmenistanu. Zlonamjerni kod iskorištava staru Baton Drop ranjivost kako bi zaobišao Secure Boot i pokrenuo upravljački program prije Windowsa. Pogođena računala bila su zakrpana, ali nisu imala ručno aktiviranu opozivnu listu za ranjivi Microsoftov certifikat. Kampanja pokazuje da instalirana nadogradnja ne znači uvijek i dovršenu zaštitu.
Kasperskyjev tim GReAT otkrio je UEFI bootkit BlackX u kibernetičkoj špijunažnoj kampanji protiv diplomatskih organizacija u Tadžikistanu, Uzbekistanu i Turkmenistanu. Zlonamjerni kod pokreće se prije Windowsa, zaobilazi Secure Boot i u jezgru sustava ubacuje vlastiti upravljački program, što mu daje postojanost i vidljivost ispod uobičajenih sigurnosnih alata.
BlackX iskorištava Baton Drop, ranjivost CVE-2022-21894 poznatu iz bootkita BlackLotus. Napadači su prethodno morali kompromitirati mrežu i dobiti administratorske ovlasti, pa bootkit nije početni ulaz. Njegova je uloga zadržati kontrolu nad vrijednim računalom i otežati otkrivanje nakon prvog prodora.
Instalacijski paket zapisuje komponente na sistemsku i UEFI particiju te postavlja vlastite Machine Owner Keys. Time omogućuje učitavanje proizvoljnih EFI datoteka unatoč zaštiti koja bi trebala prihvaćati samo pouzdan kod. Implementacija je toliko slična BlackLotusu da istraživači razmatraju kupnju izvornog koda ili detaljan obrnuti inženjering.
Maliciozni upravljački program pokušava onemogućiti procesne, dretvene i registarske povratne pozive sigurnosnih proizvoda te ometati ETW telemetriju. Posebne procedure ciljaju Kaspersky i Avast, iako Kaspersky navodi da u njegovim testovima nisu uspjele zaustaviti zaštitu. Kod ujedno skriva vlastite datoteke preusmjeravanjem zahtjeva prema bezazlenom calc.exe.
Nakon pokretanja BlackX instalira korisničke terete za špijunažu. Jedan udaljeni pristupni alat komunicira preko Google Drivea, OneDrivea i Yandex.Disk usluga, čime se promet stapa s legitimnim uslugama u oblaku. Drugi teret, OxiDLLRunner, učitava dodatni Rust modul i s upravljačkog poslužitelja može preuzimati nove dodatke.
Najneugodniji nalaz odnosi se na zakrpe. Pogođeni sustavi bili su potpuno ažurirani, ali Microsoftova zaštita traži ručno opozivanje certifikata Windows Production PCA 2011. Administrator mora postaviti registarsku zastavicu i pokrenuti zadatak Secure-Boot-Update, jer automatska promjena može onemogućiti neke dual-boot konfiguracije.
Ta iznimka pretvara tehnički ispravnu nadogradnju u organizacijski problem. Standardni izvještaj može pokazati da je zakrpa instalirana, dok ranjivi potpis i dalje vrijedi. Tvrtke zato moraju provjeravati konačno sigurnosno stanje, uključujući UEFI opozive, a ne samo uspješan završetak Windows Updatea.
Kaspersky kampanju sa srednjom razinom pouzdanosti povezuje s APT41, na temelju oznaka u kodu, načina bočnog učitavanja DLL-ova i alata tipičnih za kinesko govorno područje. Atribucija nije sudski dokaz, ali pomaže organizacijama u procjeni meta, infrastrukture i mogućih sljedećih koraka napadača.
Za poslovne sustave obrana uključuje provjeru Secure Boot baze, UEFI particije i neočekivanih ključeva, uz zaštitu administratorskih računa. Računalo s potvrđenim bootkitom ne bi trebalo samo očistiti antivirusom; sigurniji postupak je potpuna ponovna instalacija firmwarea i sustava uz promjenu vjerodajnica.
Microsoft planira fazu u kojoj bi se opoziv certifikata provodio automatski, no Kaspersky navodi da u trenutku objave nije bila aktivna. Certifikat je istekao 19. listopada, ali istek sam po sebi ne sprječava učitavanje ranije potpisanih binarnih datoteka. Rok koji administratori moraju pratiti jest stvarna provedba automatske opozivne liste na svim uređajima.
BlackX mijenja i način nabave računala za osjetljive organizacije. Kupac treba tražiti mogućnost provjere firmwarea, sigurno upravljanje ključevima i postupak za opoziv ranjivih potpisa. Bez tih zahtjeva čak i potpuno podržan uređaj može ostati izložen zbog koraka koji nije uključen u uobičajeno upravljanje zakrpama.
Središnji sustav upravljanja mora razlikovati instalaciju datoteke zakrpe od aktivacije sigurnosne mjere. Kontrolna ploča koja oba stanja prikazuje kao zeleno može stvoriti lažni osjećaj zaštite. Za Secure Boot potreban je zaseban dokaz o sadržaju opozivne baze i uspjehu zadatka na svakom tipu uređaja.
Incident-response timovi trebaju u vježbe uključiti scenarij kompromitiranog firmwarea. Uobičajena ponovna instalacija operacijskog sustava ne briše kod iz UEFI particije, pa se napadač može vratiti pri sljedećem pokretanju. Plan mora sadržavati pouzdanu sliku firmwarea, alat za provjeru i odluku kada se uređaj trajno povlači.
Američko Ministarstvo pravosuđa objavilo je koordiniranu akciju protiv sjevernokorejskih udaljenih IT radnika u kojoj su dvije osobe uhićene, 14 osumnjičenika optuženo, a oko 187 računala i KVM uređaja zaplijenjeno. BleepingComputer je detalje objavio 14. listopada u 21:41 po zagrebačkom vremenu. Shema je pogodila više od 70 američkih poslodavaca i prema vlastima prikupila približno tri milijuna dolara.
Grupo Televisa i Fintech Holdings dogovorili su kupnju AT&T-ova meksičkog mobilnog poslovanja za dvije milijarde dolara u gotovini, a Reuters je tržišnu analizu objavio 14. listopada u 18:05 po zagrebačkom vremenu. Posao, koji zahtijeva regulatorna odobrenja, trebao bi biti zaključen u prvom tromjesečju 2027. Kupci će imati jednake udjele u konzorciju, dok se AT&T usmjerava na američku optiku i 5G.
Kasperskyjev tim GReAT otkrio je UEFI bootkit BlackX u kibernetičkoj špijunažnoj kampanji protiv diplomatskih organizacija u Tadžikistanu, Uzbekistanu i Turkmenistanu. Zlonamjerni kod pokreće se prije Windowsa, zaobilazi Secure Boot i u jezgru sustava ubacuje vlastiti upravljački program, što mu daje postojanost i vidljivost ispod uobičajenih sigurnosnih alata.
