BlackX UEFI bootkit 利用 Baton Drop 漏洞绕过 Secure Boot

卡巴斯基披露了一款名为 BlackX 的 UEFI bootkit。该工具在 2026 年初的一起间谍活动中被使用，通过利用旧漏洞 Baton Drop（CVE-2022-21894）绕过 Secure Boot，并加载一个旨在干扰卡巴斯基和 Avast 安全解决方案的恶意驱动。

这起行动被以中等置信度归因于 APT41，该组织也被称为 Brass Typhoon、Wicked Panda 和 Barium。攻击目标为中亚地区的外交机构，尤其是塔吉克斯坦、乌兹别克斯坦和土库曼斯坦。卡巴斯基研究人员在分析中发现，BlackX 与自 2022 年 10 月起在黑客论坛流传的 BlackLotus 存在相似之处。

事件经过

卡巴斯基在2026年初发现并分析了这款bootkit。攻击者利用Baton Drop漏洞（CVE-2022-21894）绕过Secure Boot保护，随后加载一个恶意Windows内核驱动。该驱动的设计目标之一是干扰卡巴斯基和Avast的安全解决方案。

据卡巴斯基介绍，BlackX通过该漏洞为攻击者注册自定义的Machine Owner Key（MOK），并加载任意EFI文件，从而绕过Secure Boot的防护。这一手法与BlackLotus使用Baton Drop的方式基本一致。

研究人员指出，BlackX植入的驱动带有数字签名，签发对象是一家名为Wenjiang District Mingyu Network Technology Service Studio的机构，但该证书现已被吊销。

BlackX 的能力

该驱动会禁用与安全相关的进程和注册表回调，并篡改Windows事件跟踪（ETW）提供程序，以阻碍监控。卡巴斯基称，部分篡改流程被配置为仅在检测到目标主机上存在卡巴斯基或Avast产品时才执行，但研究人员表示这一机制对卡巴斯基的产品无效。

驱动还会保护bootkit自身的文件：当用户请求打开这些文件时，驱动会拦截请求并改为启动Windows计算器。

在持久化和后续载荷方面，BlackX会部署两类间谍工具。其一是使用Google Drive、OneDrive或Yandex.Disk作为命令与控制通道的RAT，用于执行.NET载荷以及上传和下载文件。其二是OxiDLLRunner，一个经OLLVM混淆的DLL，由googleupdate.exe侧加载；它解密v8\ context\ snapshot.bin以启动shellcode和Rust载荷，后者从archivetj[.]com获取DLL插件，并在独立线程中执行插件的create\ plugin函数。

与 BlackLotus 的关联

卡巴斯基将BlackX与BlackLotus进行对比后发现，两者在漏洞利用的实现上“极为相似”，都能注册自定义MOK并加载任意EFI文件。BlackLotus自2022年10月起在黑客论坛流传，ESET在2023年3月确认其利用Baton Drop，当时甚至能攻陷完全打补丁的Windows 11系统。

但两者也存在差异：BlackX部署的是不同的内核驱动和后续载荷。卡巴斯基认为，BlackX要么源自对BlackLotus的逆向工程，要么源自其源代码。

BlackLotus的源代码在2023年7月被泄露，但泄露并不完整。研究人员发现，他们分析的部分BlackLotus样本中含有公开仓库中缺失、却出现在BlackX中的代码。由于BlackX的操作者无法从泄露仓库获得这些代码，研究人员倾向于认为攻击者要么逆向分析了BlackLotus，要么购买了其源代码。

补丁为何未能生效

卡巴斯基表示，所有BlackX受害者的Windows系统都已安装全部补丁，但bootkit仍然得手，原因是管理员没有手动触发额外的Secure Boot吊销操作。

研究人员解释，Baton Drop漏洞的补丁设计用于吊销签署存在漏洞的UEFI组件所用的“Windows Production PCA 2011”证书，但这一吊销不会在补丁安装后自动发生，需要用户手动触发。他们认为这是更新流程中的一个缺口，因为管理员在安装安全更新后极少会再执行手动操作。

研究人员还提醒，“Windows Production PCA 2011”证书在2026年10月19日到期，并不能阻止存在漏洞的二进制文件在Windows系统上加载，除非管理员将该证书加入阻止列表。

归因与目标

卡巴斯基认为，攻击者利用了上述缓解措施的缺口，投入时间研究BlackLotus的工作方式，并制作了这款bootkit的仿制品。

要点

• BlackX 于 2026 年初的间谍活动中被发现
• 该 bootkit 利用 CVE-2022-21894 绕过 Secure Boot
• 恶意驱动可干扰卡巴斯基与 Avast 产品
• 行动被中等置信度归因于 APT41
• 目标为中亚三国的外交机构