در اوایل سال ۲۰۲۶، یک کمپین پیچیده از سوی یک عامل تهدید (Threat Actor) شناسایی شد که سازمان‌های دیپلماتیک در کشورهای آسیای مرکزی، از جمله تاجیکستان، ازبکستان و ترکمنستان را هدف قرار داده است. این حمله با استفاده از یک بوت‌کیت (Bootkit) در سطح UEFI که آن را BlackX نامیده‌اند، انجام می‌شود که شباهت بسیار زیادی به بدافزار معروف BlackLotus دارد.
مکانیزم حمله و سوءاستفاده از آسیب‌پذیری Baton Drop
مهاجمان پس از نفوذ به شبکه و کسب دسترسی‌های Administrator، اقدام به نصب BlackX می‌کنند. این بوت‌کیت از آسیب‌پذیری Baton Drop (CVE-2022-21894) برای دور زدن قابلیت Secure Boot استفاده می‌کند. فرآیند اجرای اکسپلویت در BlackX بسیار مشابه BlackLotus است؛ هدف اصلی، نصب کلیدهای سفارشی Machine Owner Keys (MOK) است که به مهاجم اجازه می‌دهد فایل‌های EFI دلخواه را برای دستکاری فرآیند Secure Boot بارگذاری کند.
چالش بحرانی در مدیریت وصله‌ها (Patch Management)
یکی از نکات بسیار مهم این گزارش، شناسایی یک شکاف امنیتی در فرآیند وصله‌گذاری است. برخلاف تصور اولیه، سیستم‌های هدف کاملاً به‌روز (Patched) بودند، اما همچنان آسیب‌پذیر باقی مانده بودند. دلیل این امر آن است که وصله مایکروسافت برای رفع آسیب‌پذیری Baton Drop، نیازمند یک مرحله تایید دستی توسط مدیر سیستم برای ابطال گواهی (Certificate Revocation) است. از آنجایی که این مرحله به صورت خودکار انجام نمی‌شود و دستورالعمل‌های آن در بخش‌های پیچیده وب‌سایت مایکروسافت قرار دارد، بسیاری از سازمان‌ها از آن بی‌اطلاع مانده‌اند.
پیلودهای مخرب و قابلیت‌های جاسوسی
درایور مخرب تزریق شده به هسته (Kernel) ویندوز، با هدف مختل کردن راهکارهای امنیتی (Security Solutions) طراحی شده است. این درایور تلاش می‌کند تا Callbackهای مربوط به فرآیندها، تردها (Threads) و رجیستری را که توسط آنتی‌ویروس‌ها استفاده می‌شوند، غیرفعال کند. همچنین، این درایور از فایل‌های بوت‌کیت در برابر دستکاری محافظت می‌کند.
علاوه بر این، دو پیلود دیگر نیز مشاهده شده است:
- یک RAT جاسوسی: که از سرویس‌های ذخیره‌سازی ابری مانند Google Drive، OneDrive و Yandex.Disk برای ارتباط با سرور C2 استفاده می‌کند.
- OxiDLLRunner: یک DLL مخرب که با استفاده از تکنیک‌های Obfuscation بارگذاری شده و یک پیلود نوشته شده با زبان Rust را برای ارتباط با سرورهای مهاجم اجرا می‌کند.
بر اساس تحلیل‌های انجام شده، با اطمینان متوسط، این حملات به گروه APT41 نسبت داده شده است.
