BlackX Bootkit يستهدف دبلوماسيي آسيا الوسطى ويرتبط بـ APT41
رصد باحثون bootkit جديدًا ومتطورًا من نوع Unified Extensible Firmware Interface (UEFI) يحمل اسم BlackX يستهدف منظمات دبلوماسية في آسيا الوسطى، وتحديدًا في طاجيكستان وأوزبكستان وتركمانستان. ويُعتقد أن هذه النشاط تديره مجموعة القرصنة المدعومة من الدولة والمعروفة باسم APT41 وترتبط بالصين، وفقًا لتقرير فني نشرته Kaspersky.
الهدف الأساسي لـ BlackX هو تقويض دفاعات بدء تشغيل Microsoft Windows وحلول الأمان التابعة لجهات خارجية، ما يتيح وصولًا خفيًا طويل الأمد إلى الأجهزة المخترقة. ويُعد BlackX نسخة محدثة من BlackLotus، وهو bootkit سيئ السمعة ظهر أول مرة في منتديات الجريمة السيبرانية أواخر 2022 وأكدت وجوده ESET في مارس 2023.
يستغل BlackLotus ثغرة تجاوز Secure Boot جرى سدها لاحقًا وتُعرف باسم CVE-2022-21894 (درجة CVSS: 4.4)، وتُعرف أيضًا باسم Baton Drop، لتحميل تعليمات برمجية خبيثة قبل بدء تشغيل نظام التشغيل. ويتطلب الاستغلال الناجح أن يمتلك المهاجم صلاحيات مسؤول أو وصولًا ماديًا إلى الجهاز المستهدف.
أشارت Microsoft إلى أن استخدام هذا الـ bootkit يهدف أساسًا إلى الاستمرارية ومراوغة الدفاعات، وقالت: «إنه ليس payload للمرحلة الأولى ولا ناقل وصول أولي، ولا يمكن نشره إلا على جهاز حصل عليه المهاجم مسبقًا إما على وصول مميز أو وصول مادي». وتتطلب معالجة هذا التهديد أكثر من مجرد تثبيت التحديثات؛ إذ يلزم اتخاذ خطوات يدوية لتطبيق إجراءات التخفيف الخاصة بإبطال Secure Boot من Microsoft.
تشير أبحاث Kaspersky إلى أن المهاجمين يستغلون عدم إكمال العديد من المؤسسات لهذه الخطوات اليدوية، ما يتيح لهم استخدام ثغرة Baton Drop حتى على الأنظمة التي طُبق عليها التصحيح. وأوضح الباحثون Georgy Kucherin وVladimir Nestor وVasily Berdnikov أن الشهادة المرتبطة بهذه الثغرة انتهت صلاحيتها في 19 أكتوبر 2026، لكن الملفات التنفيذية المصابة لا تزال قادرة على التحميل ما لم تُدرج في القائمة السوداء.
لوحظ أن المهاجمين ينشرون BlackX بعد اختراق شبكات الضحايا والحصول على صلاحيات مسؤول. وتتضمن عملية التثبيت إسقاط ملفات مثل inst.exe، وهو ملف تنفيذي للتثبيت، وPVMDIJGKAX2، وهو ملف مشفر ضروري للتثبيت. ويُنفذ المثبت عبر سطر الأوامر باستخدام مفتاح RC4 محدد لفك التشفير.
بعد التثبيت، يُسقط BlackX ملفات إضافية على قسمي النظام وUEFI لاستغلال CVE-2022-21894 بطريقة مشابهة لـ BlackLotus. والهدف النهائي هو تثبيت Machine Owner Keys (MOK) لتحميل ملفات EFI عشوائية على الأجهزة المصابة وتعطيل Secure Boot.
ومن المثير للاهتمام أن الشيفرة المصدرية لـ BlackLotus لم تكن متاحة للعامة قط، ما يشير إلى أن مبتكري BlackX إما قاموا بهندستها العكسية أو حصلوا على الشيفرة من مصدر آخر. وأشارت Kaspersky إلى ندرة استعارة عناصر APT من مجموعات الجريمة السيبرانية.
صُمم payload UEFI الذي يُسلَّم عبر هذه الثغرة لحقن driver خبيث في نواة Windows. وهذا الـ driver، الموقّع بشهادة من Wenjiang District Mingyu Network Technology Service Studio، جرى إبطالها منذ ذلك الحين. ويحاول الـ driver التداخل مع وظائف برامج أمان نقاط النهاية، لا سيما تلك المرتبطة بـ Kaspersky أو Avast، رغم أن تحليل Kaspersky وجد أن هذه المحاولات غير فعالة.
إلى جانب تعطيل حلول الأمان، ينشر الـ driver أيضًا payload لأغراض التجسس السيبراني. ورُصد payloadان: حصان طروادة للوصول عن بُعد قادر على تسليم payloads إضافية من نوع .NET، وملف DLL خبيث باسم OxiDLLRunner يُحمَّل جانبيًا بواسطة الملف التنفيذي الشرعي googleupdate.exe.
أبرز تقرير لـ ESET صدر في يونيو 2026 صلات BlackX بـ APT41، ووثّق استخدام باب خلفي في Windows يُعرف باسم SprySOCKS في هجمات استهدفت جهات حكومية في عدة دول. ويطرح تطابق بعض السلاسل النصية في BlackX مع الغرسة الخبيثة في النواة التي يستخدمها FishMonger احتمال أن يكون الـ bootkit المستخدم في تلك الهجمات هو BlackX.
وخلصت Kaspersky إلى أن APT41، من خلال تكييف أداة تجارية من أدوات الجريمة السيبرانية، قد تتجاوز الحمايات المخصصة لتأمين عمليات بدء تشغيل Windows، ما يُظهر أن الخصوم المتطورين قادرون على استغلال أدوات موجودة للحفاظ على السيطرة على شبكات عالية القيمة.
المصدر: The Hacker News