Исследователи «Лаборатории Касперского» обнаружили буткит BlackX в атаках на дипломатические организации Центральной Азии. Вредоносная программа закреплялась до запуска Windows и пыталась обойти защиту Secure Boot, используя старую уязвимость Baton Drop. Необычная деталь: на исследованных компьютерах обновления безопасности уже были установлены, но необходимый отзыв доверия к старому загрузочному сертификату не был активирован. Подробный технический разбор опубликован 22 октября 2026 года.
Атаки затрагивали дипломатические учреждения Таджикистана, Узбекистана и Туркменистана в начале 2026 года. По оценке исследователей, злоумышленники предварительно проникли во внутренние сети и получили права администратора, то есть буткит не являлся первым и единственным способом взлома. Средство защиты остановило попытку BlackX отключить антивирус, и завершить описанную цепочку атакующему не удалось. Связь операции с APT41 эксперты оценивают со средней степенью уверенности.
Для чего злоумышленникам нужен буткит
Буткит — это вредоносный компонент, который запускается раньше операционной системы. Он может вмешиваться в процесс загрузки и сохраняться на компьютере между перезапусками, усложняя работу средств защиты, запускаемых позднее. В случае BlackX исследователи обнаружили развитие идей BlackLotus — известного буткита, продававшегося преступникам в 2022 году. Новая версия использовала встроенные механизмы доверенной загрузки против их владельцев.
После закрепления BlackX пытался развернуть дополнительные компоненты, предназначенные для отключения защиты и последующей разведки. В гипотетически успешной цепочке данные могли уходить через обычные облачные хранилища, включая Google Drive, OneDrive и Яндекс Диск. Однако в расследованном эпизоде защитное средство заблокировало вредоносное действие. Поэтому использование облака в предполагаемом следующем шаге не следует подавать как уже установленный факт массовой кражи документов.
Почему установленный патч не завершил защиту
BlackX эксплуатировал недостаток, известный как Baton Drop, CVE-2022-21894. Microsoft выпустила обновления, однако для полного закрытия пути атаки администраторы должны были отдельно применить процедуру отзыва доверия к сертификату Windows Production PCA 2011. Он использовался при подписи старых загрузочных компонентов, которые впоследствии стали опасными. Автоматическое применение такого ограничения могло нарушить запуск некоторых конфигураций, поэтому производитель предусмотрел отдельный этап действий.
На атакованных компьютерах нужное обновление Windows присутствовало, но сам отзыв сертификата не был завершен. В результате уязвимая цепочка загрузки оставалась допустимой, хотя привычная проверка списка патчей показывала актуальное состояние системы. Это разница между установкой программных файлов и применением политики доверия на уровне Secure Boot. Она важна для устройств с особыми вариантами загрузки и для организаций, где администраторы проверяют только наличие обновлений.
Что известно об авторах и масштабе кампании
Kaspersky с умеренной уверенностью относит BlackX к деятельности APT41. Основанием стали сходства инструментов, отдельные технические маркеры и пересечения с ранее описанными кампаниями. Такая атрибуция означает исследовательскую оценку, а не установленную личность каждого участника. Официально подтвержденного числа полностью скомпрометированных дипломатических компьютеров в сообщении нет.
В уведомлении компании акцент сделан на защитных последствиях: обновления и статус Secure Boot нужно проверять вместе, а при обнаружении опасной активности учитывать следы еще до загрузки Windows. Универсально применять отзыв сертификата без проверки совместимости не следует: производитель отдельно описывает последствия для нестандартных конфигураций. Главный вывод расследования — обновленная ОС не гарантирует завершения всех дополнительных этапов исправления.
Вопросы и ответы (FAQ)
BlackX взламывал любой обновленный Windows?
Нет. Для установки буткита злоумышленники уже имели административные права; в исследованных системах не был полностью активирован отзыв доверия Secure Boot.
Какую уязвимость использовали?
Baton Drop, CVE-2022-21894, известную задолго до раскрытия BlackX.
Почему не помогло обновление?
Отзыв старого сертификата загрузки требовал дополнительных действий и не выполнился автоматически вместе с обычным обновлением.
Кто стоит за атаками?
Kaspersky связывает кампанию с APT41 со средней степенью уверенности.
Удалось ли отключить защиту на исследованных компьютерах?
Сообщается, что защитное ПО остановило этот этап атаки.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
