BlackX проник на комп’ютери Windows, де вже були встановлені оновлення безпеки. Пропущений крок виявився глибше в ланцюжку завантаження: системи досі довіряли старим уразливим компонентам. У дослідженні від 22 жовтня Kaspersky описала, як зловмисники використали цю прогалину, щоб закріпитися до запуску Windows у дипломатичних установах Центральної Азії.
Атаки спостерігали на початку 2026 року, а не вперше цього тижня. Новий звіт показує практичну сліпу зону керування оновленнями: установлений патч і застосоване відкликання довіри Secure Boot — це два різні стани.
Зловмисники вже мали права адміністратора
Серед описаних цілей — дипломатичні установи Таджикистану, Узбекистану й Туркменістану. BlackX застосовували після проникнення в мережі та отримання прав адміністратора. Це був спосіб поглибити вже наявне вторгнення, а не свідчення того, що саме ввімкнення оновленого ПК спричиняє зараження.
Дослідники знайшли інсталятор inst.exe та окремий зашифрований пакет. Зберігання компонентів буткіта поза інсталятором ускладнювало відтворення встановлення за одним виконуваним файлом. Пакет розміщував файли на системному та EFI-розділах, а потім використовував уразливість Baton Drop, CVE-2022-21894, щоб додати власні ключі Machine Owner Keys і завантажувати підконтрольний атакувальникам EFI-код.
Саме цю межу довіри атакує буткіт: код виконується під час запуску, ще до того, як операційна система зможе застосувати свої звичайні правила довіри до програм. BlackX нагадував BlackLotus, проте Kaspersky виявила відмінності в реалізації та подальших компонентах. Подібність сама собою не доводить, що це одна операція.
Драйвер допомагав приховувати вторгнення
Наступний етап додавав драйвер до ядра Windows. Він намагався втручатися в захисні зворотні виклики та трасування подій, а також захищав файли буткіта. Показова деталь: коли запит намагався відкрити захищений шкідливий файл, драйвер повертав дескриптор calc.exe. Отже, інструмент міг отримати інший файл замість того, який збирався перевірити.
Окрім буткіта, Kaspersky спостерігала компоненти кібершпигунства. Один використовував хмарні сховища для обміну командами; інший, OxiDLLRunner, через бічне завантаження DLL запускав зашифрований компонент на Rust. Це виявлені частини кампанії, а не доказ того, що кожне встановлення BlackX містило весь цей набір. Дослідники пов’язали кампанію з APT41 із середнім рівнем упевненості.
Чому патч не завершив зміну довіри
Ключовий висновок розслідування: на цільових комп’ютерах були встановлені всі патчі. Залишкова загроза стосувалася довіри до компонентів завантаження, підписаних сертифікатом Windows Production PCA 2011. Саме встановлення файлів оновлення не завершило необхідне відкликання.
Стан оновлень і довіру під час запуску варто перевіряти окремо:
- Стан оновлень: чи отримала Windows необхідні оновлені компоненти?
- Довіра під час запуску: чи прийме пристрій старі компоненти, які хоче завантажити зловмисник?
Позитивна відповідь на перше запитання не дає відповіді на друге. Актуальна інструкція Microsoft щодо захисту від BlackLotus, KB5025885, описує поетапне встановлення, оцінювання та застосування обмежень. Відкликання старих диспетчерів завантаження змінює й те, з яких носіїв пристрій зможе відновлюватися.
Kaspersky також зазначає: завершення строку дії сертифіката 2011 року 19 жовтня не заблокувало уразливі файли автоматично. Строк дії та внесення до бази заборонених підписів прошивки DBX — різні механізми. Звіт описує конкретну незавершену зміну довіри; він не доводить однакової вразливості всіх оновлених комп’ютерів Windows.
Перевірте розгортання перед зміною правил запуску
Адміністратору парку Windows варто перевірити фактичний стан захисту за чинними вказівками Microsoft, а не робити висновок з екрана успішного оновлення. Secure Boot слід залишити ввімкненим. Microsoft радить спочатку перевірити типові класи пристроїв, підготувати сумісні інсталяційні та відновлювальні носії й зберегти ключі відновлення BitLocker.
Це важливо, оскільки успішне відкликання може водночас заблокувати старе середовище відновлення. Копіювання рецепта реєстру без перевірки вимог до прошивки, диспетчера завантаження та відновлення здатне створити проблему з доступністю. Замість статичної команди з новини використовуйте підтримувану процедуру постачальника з переліку джерел.
Microsoft визначає ці заходи як запобіжні, а не як спосіб усунути вже наявне зараження. Якщо є ознаки компрометації ланцюжка запуску, організації потрібна допомога з реагування на інцидент. Звичайна перевірка кінцевої системи без виявлених загроз сама собою не засвідчує цілісності довіри під час завантаження.
Джерела
- Kucherin, G.; Nestor, V.; Berdnikov, V. Як APT41 відновила ідею буткіта BlackLotus для атак на дипломатичні установи Центральної Азії. Securelist, 22 жовтня 2026 року.
- Microsoft. KB5025885: відкликання диспетчерів завантаження Windows для змін Secure Boot, пов’язаних із CVE-2023-24932. Microsoft Support. Переглянуто 24 жовтня 2026 року.
