Предположительно, группировка APT41 развернула буткит BlackX в сетях дипломатических организаций
В начале 2026 года злоумышленники скомпрометировали сети дипломатических организаций в Таджикистане, Узбекистане и Туркменистане, получили права администратора и развернули UEFI-буткит BlackX. Кампанию со средней степенью уверенности связали с APT41.
BlackX закрепляется ниже уровня операционной системы
BlackX напоминает буткит BlackLotus и предназначен для обхода Secure Boot и сохранения контроля ниже уровня операционной системы. Для установки пользовательских ключей владельца машины (MOK) он использует уязвимость Baton Drop, CVE-2022-21894. Эти ключи позволяют загружать несанкционированные компоненты EFI, несмотря на защиту Secure Boot.
Пакет установки записывает файлы в разделы Windows и UEFI. Основной исполняемый файл inst.exe не содержит очевидных вредоносных строк или встроенной полезной нагрузки. Необходимые компоненты хранятся в файле PVMDIJGKAX2, что усложняет криминалистический анализ. Реализация эксплойта в BlackX отличается от BlackLotus в некоторых деталях, однако общая цепочка эксплуатации очень похожа. По оценке исследователей, это указывает на обратную разработку BlackLotus операторами или на их доступ к связанному исходному коду.
Буткит загружает вредоносный драйвер ядра Windows, подписанный сертификатом на имя Wenjiang District Mingyu Network Technology Service Studio. Сертификат с серийным номером 0bcdf5e0da32d68900b8b7638459d072 впоследствии отозвали. Драйвер вмешивается в работу средств защиты и защищает файлы BlackX: он перехватывает запросы на открытие файлов и возвращает дескриптор calc.exe вместо запрошенного вредоносного файла.
Полезные нагрузки и атрибуция кампании
BlackX также распространяет шпионские компоненты, работающие в пользовательском режиме. Одна из полезных нагрузок представляет собой троянскую программу удалённого доступа. Она может загружать дополнительные компоненты .NET и использовать Google Drive, OneDrive или Yandex.Disk для управления. Программа обрабатывает хранящиеся в этих сервисах файлы в соответствии с расширениями их имён.
Другая полезная нагрузка, OxiDLLRunner, представляет собой обфусцированную с помощью OLLVM DLL. Её загружает методом боковой загрузки DLL исполняемый файл googleupdate.exe, переименованный файл jcef_helper.exe. OxiDLLRunner расшифровывает v8_context_snapshot.bin, в котором хранятся шеллкод и полезная нагрузка на базе Rust. Она взаимодействует с www.archivetj.com и выполняет полученные DLL-плагины, экспортирующие create_plugin.
Исследователи связали кампанию с APT41 со средней степенью уверенности. Среди оснований для такой оценки они назвали совпадения с активностью, связанной с FishMonger, использование идентификатора xdd, загрузку DLL методом боковой загрузки и зашифрованные полезные нагрузки, а также паттерны обфускации OLLVM, связанные с китайскоязычными злоумышленниками.
Заражение происходило и на полностью обновлённых системах. Вероятно, это связано с тем, что меру защиты от Baton Drop требовалось включать вручную.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
