BlackX UEFI Bootkit يستغل ثغرة Baton Drop لتجاوز Secure Boot

نُشر BlackX UEFI Bootkit، وهو bootkit جديد، في حملة تجسس نُسبت إلى مجموعة التهديد APT41 المدعومة من الدولة الصينية. اكتُشف BlackX في أوائل 2026، ويستغل ثغرة Baton Drop لتجاوز حمايات Secure Boot وتحميل برنامج تشغيل خبيث يهدف إلى تعطيل حلول الأمن من Kaspersky وAvast.

استهدفت العملية وكالات دبلوماسية في آسيا الوسطى، ولا سيما في طاجيكستان وأوزبكستان وتركمانستان. أشار باحثو Kaspersky إلى أن BlackX يشبه bootkit BlackLotus المعروف سابقاً، والذي يتداول في منتديات القراصنة منذ أكتوبر 2022 واستغل أيضاً ثغرة Baton Drop (CVE-2022-21894).

في مارس 2023، أكدت ESET أن BlackLotus قادر على اختراق أنظمة Windows 11 المحدثة بالكامل باستغلال الثغرة نفسها. كشف تحليل Kaspersky أن تنفيذ BlackX للثغرة «مشابه بشكل ملحوظ» لتنفيذ BlackLotus، ما يمكّن المهاجمين من تسجيل مفاتيح Machine Owner Keys (MOKs) مخصصة وتحميل ملفات EFI عشوائية.

غير أن BlackX يختلف بنشره برنامج تشغيل kernel مميزاً وحمولات لاحقة مختلفة. ترجح Kaspersky أن BlackX ربما طُوّر عبر الهندسة العكسية لـ BlackLotus أو عبر الحصول على شيفرته المصدرية.

رغم تسريب الشيفرة المصدرية لـ BlackLotus في يوليو 2023، وجدت Kaspersky أن بعض العينات المحللة احتوت شيفرة غير موجودة في المستودع العام، ما يشير إلى أن مشغّل BlackX لم يكن بإمكانه الحصول عليها من المواد المسربة. هذا يقود الباحثين إلى الاعتقاد بأن المهاجم إما أجرى هندسة عكسية لـ BlackLotus أو اشترى شيفرته المصدرية.

قدرات BlackX

يحقن BlackX برنامج تشغيل kernel خبيثاً في Windows موقّعاً بشهادة سُحبت الآن من منظمة تُدعى Wenjiang District Mingyu Network Technology Service Studio. يعطّل هذا البرنامج عمليات مرتبطة بالأمن وعمليات استدعاء السجل (registry callbacks)، ما يعيق المراقبة عبر التلاعب بمزوّدي Event Tracing for Windows (ETW).

يُلاحظ أن بعض إجراءات التلاعب مُهيأة لتعمل فقط عند اكتشاف منتجات Kaspersky أو Avast على المضيف المستهدف. كما يحمي برنامج التشغيل ملفات الـ bootkit عبر اعتراض طلبات المستخدم للوصول إليها، فيطلق بدلاً من ذلك تطبيق Windows Calculator.

صُمم BlackX لنشر عدة حمولات تجسس على الأجهزة المصابة، منها:

• حصان طروادة للوصول عن بُعد (RAT) يستخدم Google Drive أو OneDrive أو Yandex.Disk للتحكم والسيطرة (C2) لتنفيذ حمولات .NET وإدارة رفع الملفات وتنزيلها.
• OxiDLLRunner، وهو DLL مشوش بـ OLLVM يُحمّل جانبيًا عبر googleupdate.exe، ويفك تشفير v8_context_snapshot.bin لتشغيل shellcode وحمولة Rust تسترجع إضافات DLL من archivetj[.]com وتنفذ دوال ‘create_plugin’ الخاصة بها في خيوط منفصلة.

إصلاح غير كافٍ

تفيد Kaspersky بأن جميع ضحايا BlackX المكتشفين كانوا يستخدمون إصدارات Windows محدثة بالكامل. ورغم ذلك، نجح الـ bootkit لأن المسؤولين لم يفعّلوا يدوياً عمليات سحب Secure Boot الإضافية المطلوبة بعد تثبيت التحديث.

توضح Kaspersky: «صُمم تحديث ثغرة Baton Drop لسحب شهادة ‘Windows Production PCA 2011’ المستخدمة لتوقيع مكونات UEFI الضعيفة. لكن هذا السحب لا يحدث تلقائياً عند تثبيت التحديث – بل يجب على المستخدم تفعيله يدوياً».

هذه الفجوة في عملية التحديث مقلقة، إذ ليس شائعاً أن يتخذ المسؤولون إجراءً يدوياً بعد تطبيق تحديثات الأمن. يعتقد الباحثون أن المهاجم استغل هذه الفجوة في التخفيف لفهم BlackLotus وإنشاء bootkit مقلد.

تتوفر تعليمات التحديث الكامل لثغرة Baton Drop (CVE-2022-21894) من Microsoft. وتحذر Kaspersky من أن تاريخ انتهاء صلاحية شهادة “Windows Production PCA 2011” في 19 أكتوبر 2026 لا يمنع تحميل الملفات الثنائية الضعيفة على أنظمة Windows ما لم يضف المسؤولون الشهادة فعلياً إلى قائمة الحظر.

المصدر: BleepingComputer