重點
- BlackX於2026年初瞄準塔吉克斯坦、烏茲別克斯坦及土庫曼斯坦的外交機構。
- 該啟動套件利用自訂Machine Owner Keys載入任意EFI檔案及操控Secure Boot。
- 卡巴斯基以中等信心將該行動歸因於APT41。
卡巴斯基在2026年10月22日發表的報告中表示，BlackX於2026年初瞄準塔吉克斯坦、烏茲別克斯坦及土庫曼斯坦的外交機構。
攻擊者入侵受害者網絡並取得管理員權限後，部署該UEFI啟動套件。該漏洞利用旨在安裝自訂Machine Owner Keys，從而載入任意EFI檔案以操控Secure Boot。
UEFI通常在作業系統或其他程式載入前運作。卡巴斯基以中等信心將該行動歸因於APT41。
BlackX利用Baton Drop載入啟動套件
安裝程式套件將檔案放入系統及UEFI分區，旨在利用Baton Drop漏洞。該套件包括名為inst.exe的安裝程式，以及名為PVMDIJGKAX2的RC4加密檔案。
The Hacker News表示，相關BlackLotus漏洞的CVSS分數為4.4。
卡巴斯基表示問題出在修補程式本身
卡巴斯基表示，目標電腦已完全套用修補程式，但問題出在修補程式本身。該憑證於2026年10月19日到期，但除非將憑證列入封鎖名單，否則這不會阻止有漏洞的二進制檔載入。
防守方現在要做甚麼
- 如確定裝置感染BlackLotus，應將其從網絡移除，並重新格式化作業系統及EFI分區；或從已知清潔且包含EFI分區的備份還原。
常見問題
BlackX行動發生了甚麼事？
卡巴斯基表示，攻擊者入侵受害者網絡並取得管理員權限後，BlackX於2026年初瞄準塔吉克斯坦、烏茲別克斯坦及土庫曼斯坦的外交機構。
卡巴斯基將BlackX行動與誰聯繫？
卡巴斯基以中等信心將攻擊歸因於APT41。
BlackX利用了甚麼漏洞？
The Hacker News表示，相關BlackLotus漏洞CVE-2022-21894（即Baton Drop）的CVSS分數為4.4。
來源
- Guidance for investigating attacks using CVE-2022-21894: The BlackLotus campaign | Microsoft Security Blog, Microsoft原始文件
- New BlackX UEFI bootkit exploiting Baton Drop, Kaspersky原始文件
- BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations, The Hacker News
- UEFI, Wikipedia
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| 卡巴斯基報告指，BlackX於2026年初瞄準塔吉克斯坦、烏茲別克斯坦及土庫曼斯坦的外交機構。 | Kaspersky | 已證實 |
| 卡巴斯基發現，攻擊者入侵受害者網絡並取得管理員權限後部署BlackX。 | Kaspersky | 已證實 |
| BlackX安裝程式套件將檔案放入系統及UEFI分區，以利用Baton Drop漏洞。 | Kaspersky | 已證實 |
| BlackX利用自訂Machine Owner Keys載入任意EFI檔案及操控Secure Boot。 | Kaspersky | 已證實 |
| The Hacker News表示，相關BlackLotus漏洞CVE-2022-21894的CVSS分數為4.4。 | The Hacker News | 引述 |
| 卡巴斯基以中等信心將攻擊歸因於APT41。 | Kaspersky | 已證實 |
| BlackX使用名為PVMDIJGKAX2的RC4加密檔案及名為inst.exe的安裝程式。 | Kaspersky | 已證實 |
| 研究人員觀察到一款遠端存取木馬利用Google Drive、OneDrive及Yandex.Disk進行命令及控制通訊。 | Kaspersky | 已證實 |
| Microsoft表示，BlackLotus啟動套件是持久性及防禦規避機制，而非第一階段負載或初始存取向量。 | Microsoft | 已證實 |
| UEFI是韌體架構規格，通常在作業系統或其他程式載入前運作。 | Wikipedia | 已證實 |
| Microsoft於2023年4月11日發布其報告。 | Microsoft | 已證實 |
| securelist.com於2026年10月22日發布其報告。 | securelist.com | 已證實 |
未能核實
- BlackX是否利用新分配的CVE發動攻擊，尚未確定。
- 受影響組織或裝置數目，尚未確定。
- APT41是否操控該行動，尚未獲獨立確認。
- BlackX及FishMonger啟動套件元件是否相同，尚未確定。
