بوط‌کیت (Bootkit) جدیدی تحت عنوان BlackX در جریان یک عملیات جاسوسی در اوایل سال ۲۰۲۶ شناسایی شده است. این بدافزار با بهره‌گیری از آسیب‌پذیری قدیمی Baton Drop، موفق شده است قابلیت Secure Boot را دور زده و یک درایور مخرب را برای مختل کردن راهکارهای امنیتی Kaspersky و Avast بارگذاری کند.
محققان با اطمینان متوسط، این عملیات را به گروه APT41 نسبت داده‌اند؛ یک گروه تهدید تحت حمایت دولت چین که با نام‌های Brass Typhoon، Wicked Panda و Barium نیز شناخته می‌شود. اهداف این حملات، آژانس‌های دیپلماتیک در آسیای مرکزی، به‌ویژه در تاجیکستان، ازبکستان و ترکمنستان بوده‌اند.
تحلیل فنی و شباهت با BlackLotus
تحلیل‌های انجام شده نشان می‌دهد که پیاده‌سازی BlackX در بهره‌برداری از آسیب‌پذیری (CVE-2022-21894) شباهت بسیار زیادی به بوط‌کیت BlackLotus دارد. این بدافزار با ثبت کلیدهای سفارشی مالک سیستم (Machine Owner Keys یا MOKs)، امکان بارگذاری فایل‌های دلخواه EFI را فراهم کرده و از لایه‌های حفاظتی Secure Boot عبور می‌کند.
تفاوت اصلی BlackX در درایور هسته (Kernel Driver) و محموله‌های (Payloads) بعدی آن است. محققان معتقدند BlackX یا از طریق مهندسی معکوس (Reverse-engineering) BlackLotus ساخته شده و یا کد منبع آن را به دست آورده است.
مکانیزم فرار و اختلال در پایش امنیتی
BlackX یک درایور مخرب ویندوز را تزریق می‌کند که با یک گواهی (Certificate) اکنون باطل‌شده امضا شده است. این درایور اقدامات زیر را انجام می‌دهد:
- غیرفعال کردن فرآیندهای مرتبط با امنیت و بازگشت‌های رجیستری (Registry Callbacks).
- دستکاری ارائه‌دهنده‌های Event Tracing for Windows (ETW) برای جلوگیری از پایش (Monitoring).
- مختل کردن دسترسی به فایل‌های بوط‌کیت؛ به طوری که در صورت تلاش کاربر برای باز کردن آن‌ها، برنامه Windows Calculator اجرا می‌شود.
نکته قابل توجه این است که برخی از این اقدامات تنها زمانی اجرا می‌شوند که محصولات Kaspersky یا Avast در سیستم هدف شناسایی شوند.
شکاف امنیتی در فرآیند اصلاح (Patching)
با وجود اینکه تمامی قربانیان BlackX از نسخه‌های کاملاً آپدیت شده ویندوز استفاده می‌کردند، بدافزار همچنان موفق به نفوذ شد. دلیل این امر، شکاف در فرآیند اصلاح آسیب‌پذیری Baton Drop است. اصلاح این آسیب‌پذیری مستلزم ابطال گواهی “Windows Production PCA 2011” است، اما این ابطال به صورت خودکار پس از نصب وصله (Patch) انجام نمی‌شود و مدیران سیستم باید آن را به صورت دستی فعال کنند.
این شکاف امنیتی به مهاجمان اجازه می‌دهد تا از سیستم‌هایی که وصله‌های امنیتی را دریافت کرده‌اند اما مراحل ابطال دستی را انجام نداده‌اند، برای نفوذ استفاده کنند.
