Kaspersky、BlackX UEFIブートキットを分析

Kasperskyは、UEFIブートキット「BlackX」の分析結果を公表した。BlackXは2026年初頭、タジキスタン、ウズベキスタン、トルクメニスタンの外交機関を狙った諜報活動で使用された。この分析を報じたのはbleepingcomputer.comである。

BlackXはSecure Bootの回避にBaton Drop脆弱性（CVE-2022-21894）を悪用しており、Kasperskyによると、そのエクスプロイトの実装は先行するブートキットBlackLotusのものと酷似している。

BlackXは、Wenjiang District Mingyu Network Technology Service Studioに発行され、後に失効した証明書で署名された悪意あるWindowsカーネルドライバーを読み込む。このドライバーはセキュリティ関連のプロセスを停止させ、ETWプロバイダを改ざんする。改ざんの一部は、KasperskyやAvastの製品が検出された場合にのみ作動する。また、ユーザーがブートキットのファイルを開こうとすると、Windowsの電卓を起動してファイルを保護する。

BlackXはGoogle Drive、OneDrive、Yandex.Diskをコマンド・アンド・コントロールに利用するRATを配備し、OxiDLLRunnerと呼ばれるDLLサイドローダーも用いる。確認された被害者のWindowsはいずれも完全にパッチ適用済みだったが、管理者が追加のSecure Boot失効を手動で有効化していなかった。

このキャンペーンは中程度の確度でAPT41（別名Brass Typhoon、Wicked Panda、Barium）に帰属されている。

過去の経緯

BlackLotusは2022年10月からハッカー向けフォーラムで出回り、ESETは2023年3月、Baton Dropを悪用して完全にパッチ適用済みのWindows 11を侵害できることを確認した。BlackLotusのソースコードは2023年7月に流出している。