2026年初頭のスパイ活動で、「BlackX」と呼ばれる新たなUEFIブートキットが確認されました。このブートキットは、古い脆弱性「Baton Drop」を悪用してセキュアブートを回避し、KasperskyやAvastのセキュリティ製品の動作を妨害するよう設計された悪意あるドライバーを読み込みます。
この攻撃は、中国政府の支援を受ける脅威グループ「APT41」（別名Brass Typhoon、Wicked Panda、Barium）によるものと、中程度の確度で推定されています。
2026年初頭に発見され、中央アジアの外交機関、特にタジキスタン、ウズベキスタン、トルクメニスタンが標的となりました。
Visit Advertiser websiteGO TO PAGE
Kasperskyの研究者はBlackXブートキットを分析し、BlackLotusとの類似点を発見しました。BlackLotusは2022年10月からハッカーフォーラムで出回っており、Baton Drop脆弱性（CVE-2022-21894）を悪用してセキュアブートの保護を回避します。
2023年3月には、ESETがBlackLotusによるBaton Dropの悪用を確認しています。当時、このブートキットは完全にパッチを適用したWindows 11システムでも侵害できました。
Kasperskyの研究者によると、BlackXによるこの脆弱性の悪用手法は、BlackLotusのものと「驚くほどよく似て」います。攻撃者は独自のMachine Owner Key（MOK）を登録し、任意のEFIファイルを読み込んでセキュアブートの保護を回避できます。
ただしBlackXはBlackLotusとは異なり、別のカーネルドライバーと後続のペイロードを展開します。Kasperskyは、BlackXがBlackLotusのリバースエンジニアリング、またはそのソースコードをもとに作られたとみています。
BlackLotusのソースコードは流出 しましたが、2023年7月のことで、その公開内容は不完全でした。 Kasperskyの研究者が分析したBlackLotusの一部のサンプルには、公開リポジトリにはないものの、BlackXブートキットには存在するコードが含まれていました。
BlackXの運用者は、流出したリポジトリからこのコードを入手できたはずがありません。そのため研究者は、攻撃者がBlackLotusをリバースエンジニアリングしたか、ソースコードを購入したと考えています。
BlackXの機能
BlackXは、悪意あるWindowsカーネルドライバーを注入します。このドライバーには、Wenjiang District Mingyu Network Technology Service Studioという組織に発行され、現在は失効している証明書で署名されています。
ドライバーはセキュリティ関連のプロセスやレジストリのコールバックを無効化し、Event Tracing for Windows（ETW）プロバイダーを改ざんして監視を妨害します。
研究者によると、一部の改ざん処理は、標的のホストでKasperskyまたはAvastの製品が検出された場合にのみ実行されるよう設定されています。ただし、この仕組みはKasperskyの製品には通用しないということです。
ドライバーはさらに、ブートキットのファイルを開こうとするユーザーの要求を横取りし、代わりにWindowsの電卓を起動することで、ファイルを保護します。
感染したマシンには、次のスパイ用ペイロードも展開されます。
- Google Drive、OneDrive、Yandex.Diskをコマンド＆コントロール（C2）に使うRAT。.NETペイロードの実行や、ファイルのアップロード・ダウンロードを行います。
- OxiDLLRunner。googleupdate.exeがサイドローディングするOLLVM難読化済みのDLLで、v8_context_snapshot.binを復号してシェルコードとRustペイロードを起動します。このRustペイロードはarchivetj[.]comからDLLプラグインを取得し、それぞれの「create_plugin」関数を別々のスレッドで実行します。
不十分な修正
Kasperskyによると、BlackXの被害に遭った組織はいずれも、完全にパッチを適用したWindowsを使用していました。それでも攻撃が成功したのは、管理者がセキュアブートの追加の失効処理を手動で有効にしていなかったためです。
Kasperskyは次のように説明しています。「Baton Dropの脆弱性に対するパッチは、脆弱なUEFIコンポーネントの署名に使われた『Windows Production PCA 2011』証明書を失効させるよう設計されている。ただし、この失効はパッチをインストールしても自動では行われず、ユーザーが手動で実行する必要がある」
研究者は、これは更新プロセスの欠陥だと指摘します。セキュリティ更新プログラムを適用した後に、管理者が手動で追加の作業を行うことは極めてまれだからです。
攻撃者はこの緩和策の隙を突き、「BlackLotusの仕組みの理解に時間をかけ、このブートキットの模倣版を作ることにした」と、研究者はみています。
Baton Drop（CVE-2022-21894）に完全に対処するための手順は、こちらで公開されています。
研究者は警告します。「Windows Production PCA 2011」証明書の有効期限は2026年10月19日ですが、期限が切れても、管理者がこの証明書をブロックリストに追加しない限り、脆弱なバイナリはWindowsシステムで読み込まれ続けます。
