Le organizzazioni diplomatiche in Asia Centrale sono finite nel mirino di una nuova minaccia avanzata: un bootkit UEFI chiamato BlackX, progettato per aggirare le difese di avvio di Microsoft Windows e ottenere persistenza a lungo termine. Gli attacchi osservati hanno colpito enti in Tagikistan, Uzbekistan e Turkmenistan, con una finalita chiara: mantenere accesso invisibile ai sistemi compromessi, eludendo sia Secure Boot sia alcune soluzioni di sicurezza endpoint.
BlackX viene descritto come una evoluzione di BlackLotus, un bootkit noto per sfruttare una vulnerabilita di bypass di Secure Boot identificata come CVE 2022 21894, spesso chiamata Baton Drop. Anche se la falla risulta corretta tramite aggiornamenti, la parte critica e operativa riguarda le revoche di Secure Boot. In pratica, molti ambienti Windows rimangono esposti quando non vengono applicate le mitigazioni manuali necessarie per bloccare i binari vulnerabili. Questo dettaglio e centrale: senza l aggiornamento della lista di revoca DBX, componenti firmati ma deboli possono continuare a caricarsi anche su sistemi aggiornati.
Gli aggressori, dopo aver ottenuto privilegi amministrativi o accesso fisico, installano il bootkit tramite un installer e un file cifrato senza estensione. Il processo include la decrittazione con chiave RC4 e il rilascio di ulteriori file sia nella partizione di sistema sia nella partizione UEFI. La tecnica ricalca BlackLotus e punta a inserire Machine Owner Keys per caricare file EFI arbitrari e interferire con Secure Boot.
Una volta attivo, il payload UEFI inietta un driver malevolo nel kernel di Windows. Questo driver tenta di manomettere i software di sicurezza con logiche simili al modello BYOVD, cercando di ridurre la capacita di rilevamento e risposta. Oltre alla difesa evasiva, BlackX distribuisce anche componenti di cyber spionaggio in user mode, tra cui un trojan di accesso remoto capace di scaricare payload aggiuntivi e usare servizi cloud legittimi come canali di comando e controllo, e una catena basata su DLL sideloading che porta a un payload in Rust e a plugin modulari.
Il caso BlackX evidenzia quanto la sicurezza firmware e la corretta gestione delle revoche Secure Boot siano decisive per proteggere sistemi Windows moderni, soprattutto in contesti ad alto valore come reti governative e diplomatiche.