Kaspersky تحلّل برمجية BlackX التي تتجاوز Secure Boot على Windows
برمجية إقلاع UEFI استُخدمت في حملة تجسس مطلع 2026 استهدفت وكالات دبلوماسية في ثلاث دول آسيوية، حسب تحليل Kaspersky.
نشرت شركة الأمن السيبراني Kaspersky تحليلًا لبرمجية إقلاع خبيثة من نوع UEFI تُعرف باسم BlackX، استُخدمت في حملة تجسس مطلع 2026 استهدفت وكالات دبلوماسية في طاجيكستان وأوزبكستان وتركمانستان. وأوضح التحليل أن البرمجية تستغل ثغرة Baton Drop المعروفة بالرمز CVE-2022-21894 لتجاوز آلية Secure Boot.
ووفق ما رصده التحليل، فإن تنفيذ الاستغلال في BlackX يشبه إلى حد بعيد برمجية BlackLotus السابقة. وتُحمّل BlackX برنامج تشغيل خبيثًا لنواة Windows موقّعًا بشهادة أُلغيت صادرة لـ Wenjiang District Mingyu Network Technology Service Studio.
ويعطّل برنامج التشغيل عمليات مرتبطة بالأمان ويعبث بمزوّدي ETW، إذ يجري بعض هذا العبث فقط عند اكتشاف منتجات Kaspersky أو Avast. كما يحمي البرنامج ملفات برمجية الإقلاع عبر تشغيل تطبيق Windows Calculator حين يحاول المستخدم فتح هذه الملفات.
التوزيع والاستهداف
تنشر BlackX برمجية تحكم عن بُعد (RAT) تستخدم Google Drive أو OneDrive أو Yandex.Disk لأوامر التحكم، إلى جانب أداة تحميل جانبية باسم OxiDLLRunner. وأشار التحليل إلى أن جميع الضحايا المرصودين كانوا يعملون بنسخ Windows محدّثة بالكامل، لكن المسؤولين لم يفعّلوا يدويًا عمليات إلغاء الثقة الإضافية في Secure Boot.
وتنسب الحملة إلى مجموعة APT41، المعروفة أيضًا بأسماء Brass Typhoon وWicked Panda وBarium، بدرجة ثقة متوسطة. وذكرت bleepingcomputer.com أن شهادة Windows Production PCA 2011 تنتهي صلاحيتها في 19 أكتوبر 2026، لكن الملفات التنفيذية الضعيفة تظل تُحمّل ما لم تُدرج الشهادة في قائمة الحظر.
وفي سياق سابق، أكدت ESET في مارس 2023 أن BlackLotus استغلت Baton Drop لاختراق أنظمة Windows 11 محدّثة بالكامل، بعد أن تداولت البرمجية في منتديات القراصنة منذ أكتوبر 2022 وتسريب شيفرتها المصدرية في يوليو 2023.
أسئلة سريعة
ما هي ثغرة Baton Drop؟
ثغرة في Secure Boot تحمل الرمز CVE-2022-21894، واستخدمتها BlackX لتجاوز آلية الإقلاع الآمن.
لمن تُنسب حملة BlackX؟
تُنسب بدرجة ثقة متوسطة إلى مجموعة APT41، المعروفة أيضًا بأسماء Brass Typhoon وWicked Panda وBarium.
هل تكفي تحديثات Windows للحماية؟
أشار التحليل إلى أن الضحايا كانوا على نسخ محدّثة بالكامل، لكن عمليات إلغاء الثقة الإضافية في Secure Boot لم تُفعّل يدويًا.