Читайте в Telegram
|
«Лаборатория Касперского» обнаружила атаки на дипломатические организации Центральной Азии с новым буткитом BlackX, рассказали «Код.ру» в пресс-службе компании.
Буткит начинает действовать до загрузки Windows и позволяет злоумышленникам надолго сохранять доступ к устройству. По оценке исследователей, BlackX представляет собой модернизированную версию BlackLotus, который продавался на подпольном рынке ещё в 2022 году.
Кампанию обнаружили в начале 2026 года. Как уточняется в техническом отчёте, её целями стали дипломатические организации Таджикистана, Узбекистана и Туркменистана. Исследователи со средней степенью уверенности связывают атаки с китайскоязычной группировкой APT41.
BlackX разворачивали после проникновения в сеть и получения прав администратора. Для обхода Secure Boot — механизма проверки доверенного ПО при загрузке компьютера — использовали известную уязвимость Baton Drop, CVE-2022-21894.
На атакованных компьютерах стояли все необходимые обновления Windows. Однако для блокировки уязвимых загрузчиков требовалось дополнительно активировать отзыв сертификата Windows Production PCA 2011, чего администраторы не сделали.
После установки буткит пытался отключить защитное ПО. По сообщению компании, её решение для защиты конечных устройств заблокировало эту попытку, и атака была отражена.
При успешном отключении защиты злоумышленники могли бы запустить шпионское ПО. Оно использует Google Drive, OneDrive и «Яндекс Диск» для обмена командами и передачи похищенных данных.
Компания рекомендует ограничивать права администратора и проверить выполнение дополнительных действий по инструкции Microsoft. Отзыв сертификата требует подготовки: старые носители восстановления после него могут перестать загружаться.
