Kaspersky, 2026년 스파이 캠페인에 쓰인 'BlackX' 부트킷 분석

Kaspersky가 2026년 초 타지키스탄·우즈베키스탄·투르크메니스탄의 외교 기관을 겨냥한 스파이 캠페인에 사용된 UEFI 부트킷 'BlackX'에 대한 분석을 공개했다고 bleepingcomputer.com이 보도했다. BlackX는 Baton Drop 취약점(CVE-2022-21894)을 악용해 Secure Boot를 우회했다.

Kaspersky 분석에 따르면 BlackX의 취약점 공격 구현 방식은 과거 부트킷인 BlackLotus와 매우 유사하다. BlackX는 Wenjiang District Mingyu Network Technology Service Studio에 발급된 뒤 폐기된 인증서로 서명된 악성 Windows 커널 드라이버를 로드한다.

이 드라이버는 보안 관련 프로세스를 중단시키고 ETW 공급자를 변조한다. 일부 변조 동작은 시스템에서 Kaspersky나 Avast 제품이 탐지될 때만 작동하도록 설계됐다. 또한 사용자가 부트킷 파일을 열려고 하면 Windows 계산기를 실행해 파일 보호를 시도한다.

BlackX는 구글 드라이브, OneDrive, Yandex.Disk를 명령제어(C2) 채널로 사용하는 RAT를 배포하며, OxiDLLRunner라는 DLL 사이드로더도 함께 사용한다. 관찰된 모든 BlackX 감염 시스템은 Windows 패치가 완전히 적용된 상태였지만, 관리자가 추가 Secure Boot 인증서 폐기를 수동으로 활성화하지 않은 상태였다.

한편 Windows Production PCA 2011 인증서는 2026년 10월 19일 만료되지만, 해당 인증서가 차단 목록에 올라가지 않는 한 취약한 바이너리는 계속 로드될 수 있다. 이번 캠페인은 중간 수준의 신뢰도로 APT41과 연관 지어졌다.

BlackLotus에서 이어진 계보

BlackLotus는 2022년 10월부터 해커 포럼에서 유통됐으며, 소스 코드는 2023년 7월 유출됐다. ESET은 2023년 3월 BlackLotus가 Baton Drop을 악용해 완전히 패치된 Windows 11 시스템도 감염시킬 수 있음을 확인한 바 있다.