In questo articolo Indice dei contenuti 2 sezioni
Si chiama BlackX ed è un nuovo bootkit UEFI utilizzato in una campagna di spionaggio all’inizio del 2026. Sfrutta una vecchia conoscenza degli esperti di sicurezza, la vulnerabilità Baton Drop, per aggirare il Secure Boot e caricare un driver malevolo pensato per ostacolare le soluzioni di protezione di Kaspersky e Avast. L’operazione è stata attribuita con un grado di fiducia medio ad APT41, gruppo sponsorizzato dallo Stato cinese noto anche come Brass Typhoon, Wicked Panda e Barium. Gli obiettivi erano agenzie diplomatiche dell’Asia centrale, in particolare in Tagikistan, Uzbekistan e Turkmenistan.
Analizzando il bootkit, i ricercatori di Kaspersky hanno notato parecchie somiglianze con BlackLotus, una minaccia che circola nei forum degli hacker da ottobre 2022 e che già allora sfruttava Baton Drop per scavalcare le protezioni dell’avvio sicuro. Nel marzo 2023 ESET aveva confermato questo comportamento, osservando che BlackLotus riusciva a compromettere persino sistemi Windows 11 con tutti gli aggiornamenti installati. L’implementazione dell’exploit in BlackX viene descritta come “notevolmente simile” a quella del suo predecessore. Consente all’aggressore di registrare Machine Owner Keys personalizzate e di caricare file EFI arbitrari, mandando di fatto in fumo le difese del Secure Boot.
Un clone di BlackLotus con un arsenale diverso
Le differenze però ci sono, e non sono poche. BlackX installa un altro driver kernel e distribuisce payload successivi diversi. Secondo gli esperti il malware deriva da un lavoro di reverse engineering su BlackLotus oppure dal suo codice sorgente. Quel codice era trapelato nel luglio 2023, ma in forma incompleta. Alcuni campioni di BlackLotus esaminati contenevano parti assenti dal repository pubblico e presenti invece in BlackX. Visto che chi gestisce il nuovo bootkit non poteva aver recuperato quelle porzioni dalla fuga di dati, i ricercatori ritengono che l’attaccante abbia smontato BlackLotus pezzo per pezzo o ne abbia acquistato il sorgente.
Il driver iniettato da BlackX è firmato con un certificato ormai revocato, rilasciato a un’organizzazione chiamata Wenjiang District Mingyu Network Technology Service Studio. Una volta attivo disattiva i processi legati alla sicurezza e le callback del registro, e manomette i provider di Event Tracing for Windows per rendere più difficile il monitoraggio. Alcune di queste procedure scattano soltanto se sul computer vengono rilevati prodotti Kaspersky o Avast, anche se l’azienda russa precisa che il meccanismo risulta inefficace contro le proprie soluzioni. C’è poi un dettaglio curioso: per proteggere i file del bootkit il driver intercetta le richieste dell’utente di aprirli e al loro posto avvia la Calcolatrice di Windows.
Il compito principale resta comunque quello di installare strumenti di spionaggio sulle macchine infette. Il primo è un RAT che si appoggia a Google Drive, OneDrive o Yandex.Disk come canale di comando e controllo, capace di eseguire payload .NET e di caricare e scaricare file. Il secondo si chiama OxiDLLRunner, una DLL offuscata con OLLVM e caricata in sideloading da googleupdate.exe. Decifra il file v8contextsnapshot.bin per avviare uno shellcode e un payload scritto in Rust, che a sua volta recupera plugin DLL da archivetj[.]com ed esegue le loro funzioni create_plugin in thread separati.
La patch c’era ma non bastava
L’aspetto forse più spiacevole riguarda gli aggiornamenti. Tutte le vittime di BlackX utilizzavano una versione di Windows completamente aggiornata, eppure l’attacco è andato a segno perché gli amministratori non avevano attivato a mano le revoche aggiuntive del Secure Boot. La correzione per Baton Drop è pensata per revocare il certificato Windows Production PCA 2011, usato per firmare i componenti UEFI vulnerabili. Questa revoca però non avviene in automatico con l’installazione della patch e deve essere avviata manualmente dall’utente.
Per i ricercatori si tratta di una vera falla nel processo di aggiornamento, perché è rarissimo che chi gestisce i sistemi intervenga ancora dopo aver applicato un aggiornamento di sicurezza. L’aggressore avrebbe sfruttato proprio questo vuoto e, secondo gli analisti, ha deciso di investire tempo per capire come funziona BlackLotus e crearne una copia. Gli esperti avvertono infine che la scadenza del certificato Windows Production PCA 2011, fissata al 19 ottobre 2026, non impedisce ai binari vulnerabili di caricarsi sui sistemi Windows a meno che gli amministratori non inseriscano quel certificato in una lista di blocco.
Fonte: TecnoAndroid