Буткит BlackX обходит защиту Secure Boot через брешь в Windows 11
Новая вредоносная программа-загрузчик (Буткит) под названием BlackX используется в шпионских кампаниях для нейтрализации защиты Windows 11, работая незаметно даже на компьютерах со всеми установленными обновлениями безопасности.
Угроза затрагивает самые глубокие уровни операционной системы, обеспечивая постоянный доступ к правительственным сетям. По данным исследователей «Лаборатории Касперского», атака была обнаружена в начале 2026 года и была направлена на дипломатические представительства в Центральной Азии, в частности в Таджикистане, Узбекистане и Туркменистане. Операция с умеренной степенью достоверности приписывается группе APT41, китайской государственной организации, также известной в индустрии как Brass Typhoon или Wicked Panda.
Наследование и эволюция исходного кода
Для взлома машин BlackX использует уязвимость Baton Drop (CVE-2022-21894), предназначенную для обхода защиты Secure Boot на материнских платах. Эта же уязвимость получила известность благодаря загрузочному комплекту BlackLotus в конце 2022 года.
Хотя исходный код BlackLotus был опубликован в сети в неполном виде в середине 2023 года, новый вариант содержит фрагменты кода, которые так и не стали достоянием общественности. Эксперты полагают, что авторы буткита BlackX либо приобрели полную версию у её создателей, либо провели глубокое обратное проектирование для разработки этого нового кибер-оружия.
Слепота антивирусов и кража данных
Вирус распространяется путем установки в ядро драйвера Windows 11, подписанного отозванным цифровым сертификатом, принадлежащим китайской компании. Прямая цель этого компонента — блокировка процессов безопасности антивирусов Kaspersky и Avast, а также манипулирование системой мониторинга событий системы для сокрытия своей активности. В качестве меры самозащиты любая попытка пользователя открыть файлы вредоносного ПО приводит к автоматическому открытию приложения «Калькулятор».
После взлома код загружает два независимых инструмента шпионажа. Первый — это троянская программа удаленного доступа, которая использует легитимные облачные хранилища, такие как Google Drive, OneDrive и Yandex Disk, для получения команд и извлечения данных, не вызывая подозрений у корпоративных брандмауэров. Вторая угроза маскируется под исполняемый файл Google Updates, чтобы загружать дополнительные программы, разработанные на языке Rust, непосредственно с внешнего сервера.
Процесс обновления завершился с ошибкой
Наиболее критический аспект этой кампании заключается в практической неэффективности блокировки, обеспечиваемой Microsoft. На всех затронутых компьютерах были установлены все обновления Windows 11. Вторжение произошло потому, что официальное исправление уязвимости Baton Drop требует от администраторов вручную применять дополнительные правила отзыва сертификатов к базе данных Secure Boot.
Уязвимый сертификат Microsoft, используемый для подписи этих компонентов, имеет срок действия до 19 октября 2026 года. Поскольку подавляющее большинство ИТ-команд не выполняют ручных действий после установки автоматических обновлений безопасности, хакеры смогли использовать эту административную лазейку для беспрепятственной работы вредоносного кода.
