Un nuovo bootkit UEFI chiamato BlackX ha sfruttato la vulnerabilità Baton Drop per aggirare Secure Boot e caricare un driver malevolo in Windows. La campagna di spionaggio, scoperta all’inizio del 2026, ha colpito agenzie diplomatiche dell’Asia centrale.
L’attribuzione ad APT41, gruppo legato alla Cina noto anche come Brass Typhoon, Wicked Panda e Barium, è indicata con confidenza media. Il punto più delicato non è l’assenza di patch: secondo Kaspersky, i sistemi colpiti erano aggiornati ma non avevano attivato manualmente le revoche aggiuntive di Secure Boot.
Come BlackX supera la protezione all’avvio
BlackX sfrutta Baton Drop (CVE-2022-21894), una vulnerabilità già associata al bootkit BlackLotus. L’exploit consente agli aggressori di registrare Machine Owner Keys personalizzate e di caricare file EFI arbitrari, superando quindi le protezioni di Secure Boot.
Secure Boot dovrebbe impedire il caricamento, durante l’avvio, di componenti non considerati affidabili. Un bootkit che riesce a intervenire in questa fase ottiene però una posizione particolarmente delicata: può caricare il proprio codice prima che il sistema operativo e molti controlli di sicurezza siano pienamente operativi.
I ricercatori di Kaspersky descrivono l’implementazione dell’exploit in BlackX come “notevolmente simile” a quella di BlackLotus. Il nuovo strumento non è tuttavia una copia identica: usa un driver kernel diverso e distribuisce payload successivi differenti.
Il legame con BlackLotus resta un elemento rilevante
BlackLotus circola nei forum clandestini dall’ottobre 2022 e nel marzo 2023 ESET aveva confermato l’uso di Baton Drop per eludere Secure Boot, anche su sistemi Windows 11 allora completamente aggiornati. Il codice sorgente di BlackLotus è trapelato nel luglio 2023, ma in forma incompleta.
Kaspersky ha rilevato che alcuni campioni di BlackLotus contenevano porzioni di codice assenti dal repository pubblico, ma presenti in BlackX. Da qui l’ipotesi dei ricercatori: gli operatori potrebbero aver effettuato il reverse engineering di BlackLotus oppure averne acquistato il codice sorgente.
Il driver disabilita controlli e prepara lo spionaggio
Dopo l’avvio, BlackX inietta un driver kernel Windows firmato con un certificato poi revocato, intestato a un’organizzazione chiamata Wenjiang District Mingyu Network Technology Service Studio. Il driver può disabilitare processi legati alla sicurezza e callback del Registro di sistema, oltre a manomettere i provider di Event Tracing for Windows (ETW) per ostacolare il monitoraggio.
Alcune procedure di manomissione vengono attivate solo quando sul computer sono rilevati prodotti Kaspersky o Avast. Kaspersky precisa però che questo meccanismo non è efficace contro le proprie soluzioni.
Il driver cerca inoltre di proteggere i file del bootkit: quando un utente prova ad aprirli, intercetta la richiesta e avvia Calcolatrice di Windows. Lo scopo principale resta comunque distribuire strumenti di spionaggio sul dispositivo compromesso.
Tra questi c’è un RAT che usa Google Drive, OneDrive o Yandex.Disk come infrastruttura di comando e controllo, con la possibilità di eseguire payload .NET e trasferire file. È presente anche OxiDLLRunner, una DLL offuscata con OLLVM e caricata lateralmente da googleupdate.exe: decifra un file chiamato v8_context_snapshot.bin per avviare shellcode e un payload Rust, capace a sua volta di recuperare plugin DLL da archivetj[.]com.
Perché gli aggiornamenti Windows non sono bastati
La correzione di Baton Drop punta a revocare il certificato Windows Production PCA 2011, usato per firmare componenti UEFI vulnerabili. Il problema evidenziato dai ricercatori è procedurale: l’installazione dell’aggiornamento non attiva automaticamente questa revoca aggiuntiva.
Di conseguenza, un amministratore deve avviarla manualmente. È questa lacuna che avrebbe permesso a BlackX di funzionare su macchine con Windows già aggiornato. Kaspersky sottolinea che l’amministrazione di un sistema normalmente non richiede interventi manuali dopo l’applicazione di una patch, e proprio questa aspettativa può lasciare aperto lo spazio sfruttato dagli aggressori.
Nemmeno la scadenza del 19 ottobre 2026 del certificato Windows Production PCA 2011 risolve da sola il problema: i binari vulnerabili possono continuare a essere caricati finché il certificato non viene aggiunto a una blocklist.
FAQ
Che cos’è BlackX?
BlackX è un bootkit UEFI usato in una campagna di spionaggio contro agenzie diplomatiche dell’Asia centrale. Sfrutta Baton Drop per aggirare Secure Boot e caricare un driver malevolo in Windows.
APT41 è certamente responsabile della campagna?
No. L’operazione è attribuita ad APT41 con confidenza media, non come identificazione definitiva. Il gruppo è noto anche con i nomi Brass Typhoon, Wicked Panda e Barium.
Un Windows aggiornato è automaticamente protetto?
Non necessariamente in questo caso. Kaspersky riferisce che le vittime usavano versioni di Windows completamente aggiornate, ma le revoche aggiuntive di Secure Boot necessarie contro Baton Drop non erano state attivate manualmente.
Considerazioni finali
BlackX mostra quanto una correzione di sicurezza possa restare incompleta se richiede un passaggio operativo poco visibile agli amministratori. Qui il problema non è una patch mancante, ma una revoca decisiva che non viene applicata automaticamente insieme all’aggiornamento.
Il peso della vicenda sta proprio nel divario fra sistema aggiornato e sistema effettivamente protetto: finché il certificato vulnerabile non entra nella blocklist, Secure Boot può conservare una strada aggirabile per un bootkit.