BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations
The Hacker News · 23 oct, 20:50
Qué hacer: Aplica manualmente las mitigaciones de revocación de Secure Boot de Microsoft, añadiendo el certificado "Windows Production PCA 2011" a la lista negra DBX de UEFI, especialmente en organizaciones diplomáticas y entidades de alto valor.
Kaspersky descubre BlackX, un bootkit UEFI sofisticado que ataca a organizaciones diplomáticas en Asia Central y se cree que está orquestado por APT41 (vinculado a China). BlackX es una versión mejorada de BlackLotus que explota CVE-2022-21894 para eludir Secure Boot en sistemas Windows, incluso los parcheados que no han aplicado las mitigaciones manuales de revocación de certificados.
BlackX se aprovecha de que las organizaciones no han aplicado manualmente las mitigaciones de Baton Drop, que requieren añadir el certificado "Windows Production PCA 2011" a la lista negra de Secure Boot DBX. Los atacantes utilizan un instalador (inst.exe) que, tras obtener privilegios de administrador, carga un archivo cifrado con RC4 que despliega componentes maliciosos en particiones del sistema y UEFI, explotando CVE-2022-21894 de forma similar a BlackLotus pero sin usar código fuente público disponible, sugiriendo ingeniería inversa o compra del código.
La carga UEFI inyecta un controlador firmado con certificado revocado de una empresa china que intenta inhabilititar software de seguridad (especialmente de Kaspersky y Avast, aunque inefectivamente). El bootkit despliega dos cargas de espionaje: un troyano de acceso remoto que usa Google Drive, OneDrive y Yandex.Disk como canal de C2, y OxiDLLRunner, una DLL maliciosa que ejecuta un payload en Rust comunicándose con "archivetj[.]com". Las conexiones a APT41 se vinculan a FishMonger (Aquatic Panda/Earth Lusca) detectado usando SprySOCKS en ataques anteriores.
Puntos clave
- Explota CVE-2022-21894 en sistemas sin revocación manual de certificados Secure Boot
- Requiere acceso previo de administrador o físico para la infección inicial
- Despliega bootkit UEFI para persistencia y evasión de defensa, inyectando controlador malicioso
- Utiliza canales de C2 en servicios legítimos (Google Drive, OneDrive, Yandex.Disk) para ofuscación
- Vinculado a APT41 y dirigido a entidades diplomáticas en Tajikistán, Uzbekistán y Turkmenistán