重点
- 2026年初，BlackX针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦的外交机构。
- 该启动套件使用定制的机器所有者密钥加载任意EFI文件并操纵安全启动。
- 卡巴斯基以中等置信度将此次行动归因于APT41。
卡巴斯基在2026年10月22日发布的一份报告中表示，BlackX于2026年初针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦的外交机构。
攻击者入侵受害者网络并获取管理员权限后部署了UEFI启动套件。该漏洞利用旨在安装定制的机器所有者密钥，从而加载任意EFI文件以操纵安全启动。
UEFI通常在操作系统或其他程序加载前运行。卡巴斯基以中等置信度将此次行动归因于APT41。
BlackX利用Baton Drop加载启动套件
安装程序包将文件释放到系统分区和UEFI分区，旨在利用Baton Drop漏洞。该软件包包含一个名为inst.exe的安装程序和一个名为PVMDIJGKAX2的RC4加密文件。
The Hacker News表示，相关BlackLotus漏洞的CVSS评分为4.4。
卡巴斯基表示问题出在补丁本身
卡巴斯基表示，目标计算机已完全安装补丁，但问题出在补丁本身。证书于2026年10月19日过期，但除非将证书加入阻止列表，否则这不会阻止存在漏洞的二进制文件加载。
防守方现在要做什么
- 如果确定某设备感染了BlackLotus，请将其从网络中移除，并重新格式化操作系统分区和EFI分区，或者从包含EFI分区的已知干净备份中恢复。
常见问题
BlackX行动发生了什么？
卡巴斯基表示，攻击者入侵受害者网络并获取管理员权限后，BlackX于2026年初针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦的外交机构。
卡巴斯基将BlackX行动与谁联系起来？
卡巴斯基以中等置信度将此次攻击归因于APT41。
BlackX利用了什么漏洞？
The Hacker News表示，相关BlackLotus漏洞CVE-2022-21894（即Baton Drop）的CVSS评分为4.4。
来源
- Guidance for investigating attacks using CVE-2022-21894: The BlackLotus campaign | Microsoft Security Blog, Microsoft原始文件
- New BlackX UEFI bootkit exploiting Baton Drop, Kaspersky原始文件
- BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations, The Hacker News
- UEFI, Wikipedia
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| 卡巴斯基报告称，BlackX于2026年初针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦的外交机构。 | Kaspersky | 已证实 |
| 卡巴斯基发现，攻击者入侵受害者网络并获取管理员权限后部署了BlackX。 | Kaspersky | 已证实 |
| BlackX安装程序包将文件释放到系统分区和UEFI分区，以利用Baton Drop漏洞。 | Kaspersky | 已证实 |
| BlackX使用定制的机器所有者密钥加载任意EFI文件并操纵安全启动。 | Kaspersky | 已证实 |
| The Hacker News表示，相关BlackLotus漏洞CVE-2022-21894的CVSS评分为4.4。 | The Hacker News | 引述 |
| 卡巴斯基以中等置信度将此次攻击归因于APT41。 | Kaspersky | 已证实 |
| BlackX使用了名为PVMDIJGKAX2的RC4加密文件和名为inst.exe的安装程序。 | Kaspersky | 已证实 |
| 研究人员观察到，一个远程访问木马使用Google Drive、OneDrive和Yandex.Disk进行命令与控制通信。 | Kaspersky | 已证实 |
| 微软表示，BlackLotus启动套件是一种持久化和防御规避机制，而不是第一阶段有效载荷或初始访问媒介。 | Microsoft | 已证实 |
| UEFI是一种固件架构规范，通常在操作系统或其他程序加载前运行。 | Wikipedia | 已证实 |
| 微软于2023年4月11日发布了其报告。 | Microsoft | 已证实 |
| securelist.com于2026年10月22日发布了其报告。 | securelist.com | 已证实 |
未能核实
- BlackX是否利用新分配的CVE发起攻击尚未确定。
- 有多少组织或设备受到影响尚未确定。
- APT41是否实施了此次行动尚未得到独立确认。
- BlackX和FishMonger启动套件组件是否相同尚未确定。
