BlackX, UEFI-Bootkit, greift diplomatische Missionen aus Tadschikistan, Usbekistan und Turkmenistan an

In den frühen Wochen 2026 wurden diplomatische Organisationen in Zentralasien - speziell in Tadschikistan, Usbekistan und Turkmenistan - mit einem neuen UEFI-Kit angegriffen, dem Kaspersky-Forscher getauft haben als Schwarz. Nach dem von der russischen Firma veröffentlichten technischen Bericht besteht das Hauptziel dieser Malware darin, Windows-Boot-Verteidigungen zu untergraben und Drittsicherheitslösungen zu deaktivieren oder zu umgehen, um dauerhaften und verdeckten Zugang zu hochwertigen Geräten zu erhalten.

Die von Kaspersky bestätigten Fakten sind wie folgt: Schwarz X agiert auf der UEFI-Firmware-Ebene, installiert Komponenten in der Systempartition und der UEFI-Partition, erforscht eine bekannte Schwachstelle in Secure Boot (CVE-2022-21894, die sogenannte "Baton Drop") und liefert eine Kernel-Payload, die einen betrügerisch signierten Treiber und eine Reihe von Benutzer-Raum-Payloads für Spionage und Fernbedienung injiziert. Das Unternehmen beobachtete spezifische Dateien, die in der Installation verwendet werden - zum Beispiel eine ausführbare installiert in C:\ ProgramData\ Intel\ inst.exe und eine verschlüsselte Datei als Paket verwendet - und Ausführungsverfahren mit RC4-Tasten, die die Dekompression und das Schreiben von Festplattenkomponenten erlauben.

Technisch, Schwarz X wieder die gleiche Technik wie BlackLotus Bootkit: Hinzufügen von Schlüsseln (MOK, Machine Owner Keys) oder laden EFI Binaries, bevor das Betriebssystem beginnt, so dass der bösartige Code mit sehr frühen Privilegien läuft und kann mit Secure Boot und Anti-Malware-Mechanismen stören. Durch den Betrieb von CVE-2022-21894 ist es möglich, unbefugte Binäre in diesem Stadium zu laden. Es ist wichtig zu betonen, dass die Operation nicht trivial ist: Um ein Bootkit weit zu implementieren, braucht der Angreifer administrative Privilegien in der Maschine oder physischen Zugriff auf die Ausrüstung; daher wird BlackX als Mechanismus der Beharrlichkeit und Evasion nach einer anfänglichen Verpflichtung verwendet, nicht als Initialvektor, etwas, das bereits von Microsoft angezeigt, wenn BlackLotus dokumentiert wurde.

Was macht der Code nach dem Laden: die UEFI-Komponente installiert einen Kernel-Treiber, der mit einem Zertifikat eines Unternehmens versehen wurde, das später widerrufen wurde, und versucht, den Betrieb von Sicherheitslösungen im System zu ändern (mit spezifischen Routinen für Kaspersky und Avast-Produkte, die Kaspersky in der analysierten Probe als unwirksam erachtet). Darüber hinaus beinhaltet das Paket die Nutzungsplatzgebühren: ein Remote Access Trojan, der herunterladen kann. NET-Module und nutzen legitime Cloud-Synchronisationsdienste wie Google Drive, OneDrive und Yandex. Disk als Steuer- und Steuerkanäle für Camouflage-Verkehr, und eine bösartige DLL (sideloaded by googleupdate.exe), die eine Rust binäre läuft, die eine Remote-Domain kontaktiert, um zusätzliche Plugins zu erhalten.

Technische Zuschreibung ist teilweise und vorsichtig: Kaspersky verbindet die Kampagne mit Methoden, die mit China-gesponserten Angriffen übereinstimmen, und verbindet BlackX mit APT41 basierend auf technischen und taktischen Überschneidungen und Cross-Analyse mit früheren Berichten. ESET hat ihrerseits Familien und Operationen unter dem Dach von APT41 (FishMonger / Aquatic Panda) dokumentiert, die Backdoors wie SprySOCKS und manchmal UEFI Komponenten verwendet. Diese Verbindungen sind jedoch Schätzungen auf der Grundlage von Indikatoren und Verhaltensmustern: Die Zuschreibung an einen Staatsakteur bleibt eine forensische Inferenz, kein unwiderlegbarer Beweis.

Warum einige Systeme verletzlich bleiben, auch wenn sie "patched" sind: Sicherheitslücke CVE-2022-21894 hat einen Patch, aber zusätzliche Minderung erfordert manuelle Schritte, um Zertifikate in der Secure Boot (DBX) Schlossliste hinzuzufügen und zu blockieren. Kaspersky weist darauf hin, dass viele Administratoren diese manuellen Aktionen nicht durchgeführt haben - zum Beispiel, fügen Sie die von bestimmten Binaries zur verbotenen Liste verwendete CA hinzu - und deshalb kann BlackX auch bei Maschinen mit angewandten Updates wirksam bleiben. Für Details zum Schutz des DBX-Boot- und Managementprozesses behält Microsoft die technische Referenzdokumentation vor: Microsoft Secure Boot Anleitung.

Praktische Konsequenzen: Das Vorhandensein eines Bootkits wie BlackX in einer diplomatischen Umgebung bedeutet eine anhaltende Kontrolle unter dem Betriebssystem, eine überlegene Schwierigkeit bei der Erkennung eines Eindringens mit traditionellen Werkzeugen und das reale Risiko einer fortgesetzten Spionage (Dateisammlung, diskrete Exfiltration, Seitenbewegungen mit kompromittierten Anmeldeinformationen). Darüber hinaus, wenn bösartige Binaries in der Firmware oder MOK-Tasten hinzugefügt wurden, eine einfache Neuinstallation des Betriebssystems garantiert keine Mediation; die Infektion kann eine Formatierung ohne Eingriff auf der Firmware Ebene überleben.

Was ist sicher und was nicht bestätigt: Es wird bestätigt, dass Kaspersky die Kampagne gegen diplomatische Missionen in den oben genannten Ländern beobachtete und dass das Bootkit BlackLotus-Technik wiederverwendet, um Secure Boot zu umgehen. Es ist eine vernünftige Schätzung, die von der ESET-Analyse unterstützt wird, dass die mit APT41 verbundenen Akteure hinter sich sind, aber die vollständige Zuschreibung kann Unsicherheiten enthalten und hängt von Korrelationen von Indikatoren und Methoden ab. Es ist auch öffentlich bekannt, ob der ursprüngliche BlackLotus-Code durch Reverse Engineering erworben oder repliziert wurde; beide Szenarien sind plausibel und von Experten erwähnt.

Spezifische und unmittelbare Empfehlungen für Sicherheitsmanager und Beamte:

1) Prüfung und Implementierung von DBX / Verbotene Liste Minderung: Neben der Installation aller Windows-Patches, führen Sie die manuellen Schritte von Microsoft empfohlen, um die Liste der in Secure Boot blockierten Zertifikate zu verwalten und sicherzustellen, dass kompromittierte Zertifikate nicht die Beladung von schädlichen Binaries erlauben (siehe Microsoft Anleitung oben).

2) Überprüfen Sie die Integrität der Firmware und UEFI-Partitionen: Verwenden Sie forensische und Integritätstools wie CHIPSEC (https: / / github.com / chipsec / chipsec) um Änderungen in der EFI-Partition, hinzugefügte Schlüssel (MOK) oder unerwartete Binaries am Boot zu erkennen.

3) Wenn es einen Verdacht auf Engagement, Isolierung und Waldall vor der Reparatur gibt: Offline-Disk-Bilder, Speicherüberlauf und UEFI-Partitionsanalyse sollte jeder Neuinstallation vorangehen. In risikoreichen diplomatischen Umgebungen betrachten Firmware-Reflexe durch zuverlässige Lieferanten und vollständige Neuinstallation von verifizierten Mitteln.

(4) Überprüfe Privilegien und anfängliche Zugriffsvektoren: Da die Bereitstellung hohe Privilegien oder physischen Zugriff erfordert, untersuchen Sie, wie die Angreifer diese Privilegien (Phishing, exponierte Anmeldeinformationen, Service-Betrieb, physischer Zugriff) erhalten und mildern: Passwort-Rotation, Multifaktor-Authentifizierung, Netzwerksegmentierung, Konto-Review mit Privilegien und physischer Zugriffskontrolle.

5) Überwachen Sie den abgehenden Verkehr und ungewöhnliche Aktivitäten in Cloud-Services: Schwarz X verwendet legitime Synchronisationsdienste wie C2; auditieren Sie die Nutzung von Konten auf Google Drive, OneDrive und Yandex. Disk, und erstellen Sie Steuerrichtlinien und Warnungen für ungewöhnlichen Zugriff.

UEFI-Level-Bedrohungen erhöhen den technischen Link zur Reaktion und erfordern hochexponierte Organisationen, um ihre Firmware Governance-Prozesse, Patches und Vertrauenslisten neu zu denken. Um den technischen Kontext und den Hintergrund des ursprünglichen BlackLotus-Vektors zu verstehen, sollte die im Jahr 2023 veröffentlichte ESET-Analyse auf diesem Bootkit überprüft werden: ESET - BlackLotus Analyse. Für CVE-Referenzen und technische Details der oben genannten Schwachstellen siehe die offiziellen NVD-Datenblätter: CVE-2022-21894 und CVE-2023-24932.

Kurz gesagt, BlackX ist eine Resistenz und Anpassung einer High-Impact-Technik, die Sie dazu zwingt, Oberflächenlösungen beiseite zu setzen (nur den Patch anzuwenden) und einen kompletten forensischen und Firmware-Ansatz zu nehmen. Für diplomatische Organisationen und andere kritische Institutionen sollte die Priorität darin bestehen, die Integrität des Start-ups zu überprüfen und die Vektoren zu schließen, die den ersten Eintrag des Angreifers erlaubten.