Diplomatieke organisaties in Centraal-Azië zijn het doelwit geworden van een geavanceerde nieuwe Unified Extensible Firmware Interface (UEFI) bootkit genaamd BlackX.
De activiteit, die begin 2026 diplomatieke entiteiten in Tadzjikistan, Oezbekistan en Turkmenistan op het oog had, wordt naar verluidt gecoördineerd door een aan China gelinkt, door de staat gesteund hackergroep die bekendstaat als APT41, aldus Kaspersky in een technisch rapport dat deze week werd gepubliceerd.
Het voornaamste doel van het inzetten van de malware is het ondermijnen van de opstartverdediging van Microsoft Windows, evenals van beveiligingsoplossingen van derden, terwijl langdurige, verborgen toegang tot gecompromitteerde apparaten wordt gehandhaafd.
Opmerkelijk is dat BlackX wordt beschouwd als een bijgewerkte versie van BlackLotus, een beruchte bootkit die voor het eerst werd aangeboden op cybercrimeforums eind 2022, en waarvan het bestaan officieel werd bevestigd door ESET in maart 2023.
BlackLotus is ontworpen om misbruik te maken van een inmiddels gepatchte Secure Boot-bypass kwetsbaarheid die wordt gevolgd als CVE-2022-21894 (CVSS-score: 4,4), ook bekend als Baton Drop, om kwaadaardige code te laden voordat het besturingssysteem start. Succesvolle exploitatie hangt echter af van het feit dat een aanvaller beheerdersrechten of fysieke toegang tot een doelhost heeft.
“Het is van cruciaal belang op te merken dat het gebruik van deze bootkit door een dreigingsactor primair een mechanisme is voor persistentie en verdedigingsevasie,” merkte Microsoft destijds op. “Het is geen payload in de eerste fase of een initiële toegangsvector en kan alleen op een apparaat worden ingezet waarvoor een dreigingsactor al ofwel bevoorrechte toegang ofwel fysieke toegang heeft verkregen.”
Dat gezegd hebbende vereist het volledig aanpakken van de dreiging aanvullende acties naast het installeren van de laatste update, waaronder het uitvoeren van handmatige stappen om Microsoft’s Secure Boot-revocatie mitigaties toe te passen, zoals het toevoegen van het certificaat “Windows Production PCA 2011” aan de Secure Boot UEFI Forbidden List (DBX).
Het Russische cybersecuritybedrijf heeft vastgesteld dat aanvallers profiteren van het feit dat organisaties deze handmatige stappen niet hebben uitgevoerd, wat hen in staat stelt de Baton Drop-kwetsbaarheid te blijven gebruiken, zelfs op systemen waarop de “patch” is toegepast.
“Op 19 oktober 2026 is dit certificaat verlopen, maar dit verhindert niet dat de kwetsbare binaries laden tenzij het certificaat op de blocklist is gezet,” zeiden onderzoekers Georgy Kucherin, Vladimir Nestor en Vasily Berdnikov.
“Het is waarschijnlijk dat de dreigingsactor achter deze campagne in aanmerking heeft genomen dat weinig organisaties het belang inzagen van het handmatig activeren van de Baton Drop-patch. We geloven daarom dat ze besloten hebben tijd te investeren om te begrijpen hoe BlackLotus werkt en een kopie van deze bootkit te maken.”
Aanvallers zijn waargenomen bij het inzetten van BlackX nadat ze netwerken van slachtoffers hadden binnengedrongen via een niet-gespecificeerde methode en beheerdersrechten hadden verkregen. Om de bootkit te installeren dropt de dreigingsactor de volgende bestanden –
- inst.exe, een installatie-executable
- PVMDIJGKAX2, een versleuteld bestand zonder extensie dat bestanden en strings bevat die nodig zijn voor de installatie
De installer wordt vervolgens via de opdrachtregel gestart als “C:ProgramDataIntelinst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1”, waarbij “Q46F6MDLI3RX2KV1” de RC4-sleutel is die voor de decryptie wordt gebruikt.
De binary dropt daarna aanvullende bestanden zowel naar systeem- als UEFI-partities om CVE-2022-21894 te misbruiken op een wijze die “opmerkelijk vergelijkbaar” is met de methode die in BlackLotus werd gebruikt. Het einddoel blijft hetzelfde: Machine Owner Keys (MOK) installeren om willekeurige EFI-bestanden te laden op de geïnfecteerde hosts en Secure Boot te ondermijnen.
Wat hier opmerkelijk is, is dat de broncode van BlackLotus nooit openbaar is gemaakt, wat aangeeft dat de dreigingsactoren achter BlackX ofwel de originele bootkit hebben gereverse-engineerd, of de broncode ervan van een andere partij hebben gekocht.
“Hoe dan ook is dit een interessante observatie, omdat we zelden zien dat APT-actoren ideeën of code lenen van cybercrime-actoren,” zei Kaspersky.
De UEFI-payload die na de exploitatie van de kwetsbaarheid wordt geleverd, is ontworpen om een kwaadaardige driver in de Windows-kernel te injecteren. De driver is ondertekend met een certificaat dat behoort tot een bedrijf genaamd Wenjiang District Mingyu Network Technology Service Studio. Het certificaat is sindsdien door de uitgever ingetrokken.
Net als bij de bring your own vulnerable driver (BYOVD)-aanval probeert de driver de werking van op het eindpunt geïnstalleerde beveiligingssoftware te manipuleren. In een interessante wending worden sommige van de ongeautoriseerde aanpassingen alleen uitgevoerd als beveiligingsprogramma’s van Kaspersky of Avast aanwezig zijn. Kaspersky’s analyse heeft echter aangetoond dat deze routines ineffectief zijn.
Niet alleen probeert men beveiligingsoplossingen onklaar te maken, de driver dropt ook een user-mode payload voor cyberspionage. Twee zulke payloads zijn waargenomen –
- Een remote access trojan die aanvullende .NET-payloads kan leveren en Google Drive, OneDrive en Yandex.Disk gebruikt voor command-and-control (C2) om te mengen met reguliere bedrijfsworkflows. Deze is ook uitgerust om systeeminformatie te verzamelen en bestanden van belang te uploaden.
- Een kwaadaardige DLL genaamd OxiDLLRunner die wordt sideloaded door de legitieme “googleupdate.exe” binary, die ook door de bootkit wordt afgeleverd. De DLL ontsleutelt en start een Rust-payload die communiceert met “archivetj[.]com” om meer DLL-plugins te ontvangen en uit te voeren.
BlackX’s connecties met APT41 vloeien voort uit een ESET-rapport in juni 2026, waarin FishMonger’s gebruik van een Windows-backdoor genaamd SprySOCKS werd gedocumenteerd in aanvallen gericht op overheidsinstanties in Honduras, Taiwan, Thailand en Pakistan tussen 2023 en 2024. FishMonger, ook gevolgd als Aquatic Panda en Earth Lusca, wordt geacht te opereren binnen de APT41-paraplu.
Het Slowaakse cybersecuritybedrijf zei dat het “beperkte aanwijzingen” had gevonden dat sommige versies van de backdoor mogelijk een UEFI-bootkitcomponent bevatten die waarschijnlijk CVE‑2023‑24932 misbruikte, een andere kwetsbaarheid voor het omzeilen van beveiligingsfuncties die in verband wordt gebracht met BlackLotus.
Een interessante overlap is de aanwezigheid van de string “xdd” in BlackX en de kernel-implant die door FishMonger werd gebruikt, wat de mogelijkheid opent dat de UEFI-bootkit die in die aanvallen werd gebruikt niemand anders is dan BlackX. De tweede aanwijzing die wijst op China-gebonden hackers is het gebruik van DLL-sideloading om de payloads te distribueren — een patroon dat extreem veel voorkomt bij dreigingsactoren van Chinese oorsprong.
“Door een commercieel crimeware-instrument aan te passen, kon de groep procedures om het Windows-bootproces te beschermen omzeilen,” zei Kucherin. “Deze hybride aanpak bewijst dat geavanceerde tegenstanders het wiel niet opnieuw hoeven uit te vinden om blijvende, onzichtbare controle over netwerken met hoge waarde te vestigen.”
