BlackX UEFI Bootkit 绕过已修补 Windows 系统的安全启动，因缺少撤销而受影响
2026 年初，塔吉克斯坦、乌兹别克斯坦和土库曼斯坦的外交机构成为名为 BlackX 的复杂 UEFI 启动工具包的攻击目标。网络安全公司 Kaspersky 将此活动与 APT41（一个与中国有关联的国家资助黑客组织）联系起来。BlackX 旨在破坏 Microsoft Windows 启动防御并维持隐蔽访问，即使在已打安全补丁的系统上，它也通过利用经常被忽略的手动撤销步骤来实现。
BlackX 是 BlackLotus 启动工具包的更新版本，旨在颠覆 Microsoft Windows 启动防御和第三方安全解决方案。其主要目标是确保对受感染设备的长期隐蔽访问，而不是作为初始访问途径。为了部署，攻击者首先需要管理员权限或对目标主机的物理访问，之后 BlackX 利用 CVE-2022-21894 漏洞（称为 Baton Drop）在操作系统启动前加载恶意代码。
该启动工具包的有效性源于其能够绕过已应用相关软件补丁的系统上的安全启动。Kaspersky 发现攻击者利用组织未能执行额外手动步骤，特别是将“Windows Production PCA 2011”证书添加到安全启动 UEFI 禁用列表 (DBX)。这种疏忽使得该启动工具包能够在软件更新后仍然利用 Baton Drop 漏洞，从而使易受攻击的二进制文件仍能加载。
尽管 BlackLotus 的源代码从未公开，但 BlackX 与 BlackLotus 之间的相似性表明 BlackX 背后的威胁行为者要么逆向工程了原始版本，要么获取了其源代码。Kaspersky 指出这是一个有趣的观察，因为国家资助的组织很少直接从网络犯罪行为者那里借用技术或代码。利用后，UEFI 有效负载会将恶意驱动程序注入 Windows 内核，该驱动程序由属于 Wenjiang District Mingyu Network Technology Service Studio 的证书签署。
