卡巴斯基披露 BlackX 引导工具包分析

卡巴斯基发布了对 BlackX UEFI 引导工具包的分析报告。据 bleepingcomputer.com 报道，该工具包在 2026 年初针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦外交机构的间谍行动中被使用。

分析显示，BlackX 利用 Baton Drop 漏洞（CVE-2022-21894）绕过 Secure Boot，其漏洞利用实现与早前的 BlackLotus 高度相似。BlackX 加载一个恶意 Windows 内核驱动，该驱动的签名证书由 Wenjiang District Mingyu Network Technology Service Studio 签发，且该证书已被吊销。

该驱动会关闭安全相关进程并篡改 ETW 提供程序，其中部分篡改行为仅在检测到卡巴斯基或 Avast 产品时才会触发。它还会在用户尝试打开引导工具包文件时启动 Windows 计算器，以此保护自身文件。

BlackX 通过一个名为 OxiDLLRunner 的 DLL 侧加载程序投放远程访问木马，并使用谷歌 Drive、OneDrive 或 Yandex.Disk 作为命令与控制通道。据观察，所有受害者运行的 Windows 均已打满补丁，但管理员未手动启用额外的 Secure Boot 吊销项。

该行动被以中等置信度归因于 APT41。据 bleepingcomputer.com 报道，2022 年 10 月起 BlackLotus 已在黑客论坛流传，其源代码于 2023 年 7 月泄露；ESET 于 2023 年 3 月确认 BlackLotus 曾利用 Baton Drop 攻破已打满补丁的 Windows 11 系统。Windows Production PCA 2011 证书将于 2026 年 10 月 19 日到期，但除非证书被列入阻止列表，存在漏洞的二进制文件仍可加载。