BlackX UEFI Bootkit 繞過已修補 Windows 系統的安全啟動，因缺少撤銷而受影響
2026 年初，塔吉克、烏茲別克和土庫曼的外交機構成為名為 BlackX 的複雜 UEFI 啟動套件的目標。網絡安全公司 Kaspersky 將此活動與 APT41（一個與中國有關聯的國家資助黑客組織）聯繫起來。BlackX 旨在破壞 Microsoft Windows 啟動防禦並維持隱蔽存取，即使在已打安全補丁的系統上，它也透過利用經常被忽略的手動撤銷步驟來實現。
BlackX 是 BlackLotus 啟動套件的更新版本，旨在顛覆 Microsoft Windows 啟動防禦和第三方安全解決方案。其主要目標是確保對受感染裝置的長期隱蔽存取，而不是作為初始存取途徑。為了部署，攻擊者首先需要管理員權限或對目標主機的物理存取，之後 BlackX 利用 CVE-2022-21894 漏洞（稱為 Baton Drop）在作業系統啟動前載入惡意程式碼。
該啟動套件的有效性源於其能夠繞過已應用相關軟件補丁的系統上的安全啟動。Kaspersky 發現攻擊者利用組織未能執行額外手動步驟，特別是將「Windows Production PCA 2011」證書添加到安全啟動 UEFI 禁用列表 (DBX)。這種疏忽使得該啟動套件能夠在軟件更新後仍然利用 Baton Drop 漏洞，從而使易受攻擊的二進位檔案仍能載入。
儘管 BlackLotus 的原始碼從未公開，但 BlackX 與 BlackLotus 之間的相似性表明 BlackX 背後的威脅行為者要麼逆向工程了原始版本，要麼獲取了其原始碼。Kaspersky 指出這是一個有趣的觀察，因為國家資助的組織很少直接從網絡犯罪行為者那裡借用技術或程式碼。利用後，UEFI 有效負載會將惡意驅動程式注入 Windows 核心，該驅動程式由屬於 Wenjiang District Mingyu Network Technology Service Studio 的證書簽署。
