In questo articolo Indice dei contenuti 2 sezioni
Una falla di Windows 11 legata all’avvio del sistema continua a creare grattacapi a Microsoft, che da qualche anno ormai non riesce a chiudere del tutto la partita. Il paradosso è evidente: la correzione esiste da tempo, ma prevede passaggi così insoliti che nella pratica pochi amministratori di sistema la completano davvero. Il risultato è che macchine considerate perfettamente aggiornate restano esposte a un tipo di attacco tra i più insidiosi in circolazione, quello dei bootkit.
A riportare l’attenzione sul problema sono stati i ricercatori di Kaspersky, che hanno individuato un nuovo bootkit chiamato BlackX. Questo malware è in grado di aggirare Secure Boot anche su sistemi Windows con tutti gli aggiornamenti installati. La vulnerabilità sfruttata era stata corretta da Microsoft già nel 2022, però la patch da sola non basta: dopo l’installazione servono ulteriori interventi manuali, e molti amministratori semplicemente non ne sono a conoscenza.
Da BlackLotus a BlackX, la stessa porta lasciata socchiusa
La vicenda ricorda molto da vicino quella di BlackLotus, il malware scoperto nel 2023 e considerato il primo bootkit UEFI documentato pubblicamente capace di scavalcare Secure Boot su computer con Windows 11 aggiornato. Le due minacce condividono lo stesso punto di ingresso, cioè Baton Drop, una vulnerabilità presente nel boot manager di Windows.
Il funzionamento è tanto semplice da descrivere quanto difficile da contrastare. Il bug consente di eseguire codice non autorizzato durante le primissime fasi di accensione del computer, ancora prima che entrino in gioco le normali difese del sistema operativo, eludendo così i controlli previsti da Secure Boot. La prima correzione era arrivata nel 2022 ma all’inizio Microsoft non aveva revocato i certificati utilizzati per firmare i vecchi boot manager vulnerabili. Proprio questo dettaglio ha lasciato spazio agli attaccanti, che hanno potuto continuare a sfruttare componenti ancora riconosciuti come affidabili.
Secondo gli esperti di Kaspersky, dietro BlackX ci sarebbero con buona probabilità gruppi riconducibili al cluster APT41. Il codice di partenza è quello già noto di BlackLotus, rivisto e rimesso a punto per essere impiegato in operazioni mirate.
Spionaggio contro obiettivi diplomatici in Asia centrale
Gli attacchi condotti con BlackX hanno preso di mira organizzazioni diplomatiche in Asia centrale. Lo scopo non è un colpo rapido ma qualcosa di più subdolo: il bootkit serve a mantenere una presenza stabile su sistemi già compromessi in precedenza, così da portare avanti attività di spionaggio prolungate nel tempo senza dare nell’occhio.
Anche il modo in cui i dati vengono sottratti è piuttosto astuto. L’esfiltrazione delle informazioni passa infatti attraverso servizi cloud di uso comune come Google Drive, OneDrive e Yandex Disk, piattaforme il cui traffico difficilmente desta sospetti in una rete aziendale. Gli autori degli attacchi cercano inoltre di disattivare i prodotti di sicurezza installati sui dispositivi, comprese le soluzioni Kaspersky, che secondo l’azienda continuano comunque a resistere a questi tentativi.
La vulnerabilità di aggiramento di Secure Boot usata da BlackX era stata corretta nel 2023. Anche in questo caso, però, l’aggiornamento richiede che gli amministratori portino a termine manualmente alcuni passaggi di configurazione per attivare la protezione in modo completo. Molte organizzazioni non li hanno mai eseguiti e sono rimaste vulnerabili, pur avendo installato la patch.
I dettagli tecnici della ricerca su BlackX sono stati illustrati da Georgy Kucherin, esperto del team GReAT di Kaspersky, durante il suo intervento al Security Analyst Summit 2026.
Fonte: TecnoAndroid