كشف باحثو Kaspersky عن بوتكيت UEFI جديد يُدعى BlackX، تم نشره في حملة تجسس مطلع عام 2026. يستغل هذا البوتكيت ثغرة «Baton Drop» القديمة لتجاوز Secure Boot وتحميل برنامج تشغيل خبيث مصمم للتدخل في الحلول الأمنية من Kaspersky و Avast. تُنسب هذه العملية، بثقة متوسطة، إلى مجموعة APT41 الصينية المدعومة من الدولة، والمعروفة أيضًا بأسماء مثل Brass Typhoon و Wicked Panda و Barium. وقد استهدفت وكالات دبلوماسية في آسيا الوسطى، وتحديداً في طاجيكستان وأوزبكستان وتركمانستان.
كيف يعمل BlackX؟
يستغل BlackX ثغرة Baton Drop (المعروفة بـ CVE-2022-21894)، والتي تم استغلالها سابقًا بواسطة بوتكيت BlackLotus الذي انتشر في منتديات المخترقين منذ أكتوبر 2022. وجد باحثو Kaspersky تشابهًا ملحوظًا بين طريقة استغلال BlackX و BlackLotus للثغرة، مما يسمح للمهاجمين بتسجيل مفاتيح مالك الجهاز (MOKs) المخصصة وتحميل ملفات EFI عشوائية لتجاوز حماية Secure Boot. على الرغم من أن BlackX يختلف عن BlackLotus في برامج التشغيل وحمولات الحمولة اللاحقة، إلا أن الباحثين يعتقدون أنه مشتق من الهندسة العكسية لـ BlackLotus أو من شيفرته المصدرية، خصوصًا أن بعض الشيفرة الموجودة في BlackX لم تكن متاحة في التسريب الجزئي لشيفرة BlackLotus في يوليو 2023.
يقوم BlackX بحقن برنامج تشغيل نواة Windows خبيث مُوقع بشهادة تم إلغاؤها الآن، صادرة لمنظمة تُدعى Wenjiang District Mingyu Network Technology Service Studio. يعطّل هذا البرنامج العمليات المتعلقة بالأمان واستدعاءات سجلات النظام، ويتلاعب بموفري Event Tracing for Windows (ETW) لإعاقة المراقبة. من الجدير بالذكر أن بعض إجراءات التلاعب يتم إعدادها للتشغيل فقط إذا تم اكتشاف منتجات Kaspersky أو Avast على الجهاز المستهدف.
كما يحمي برنامج التشغيل ملفات البوتكيت عن طريق اعتراض طلبات المستخدم لفتحها وتشغيل تطبيق الحاسبة في Windows بدلاً من ذلك. ويهدف أيضًا إلى نشر حمولات تجسس على الأجهزة المصابة، تشمل RAT يستخدم Google Drive أو OneDrive أو Yandex.Disk لأوامر التحكم (C2) لتنفيذ حمولات .NET ورفع وتنزيل الملفات، بالإضافة إلى OxiDLLRunner الذي يقوم بفك تشفير v8_context_snapshot.bin لتشغيل شيفرة Shellcode وحمولة Rust تسترد ملحقات DLL من archivetj[.]com.
ثغرة «غير مكتملة الإصلاح»
لاحظت Kaspersky أن جميع ضحايا BlackX كانوا يستخدمون إصدارات Windows مُحدثة بالكامل. ومع ذلك، نجح البوتكيت لأن المسؤولين لم يقوموا بتنشيط عمليات إلغاء Secure Boot الإضافية يدويًا. يوضح باحثو Kaspersky أن التصحيح الخاص بثغرة Baton Drop مصمم لإلغاء شهادة «Windows Production PCA 2011» المستخدمة لتوقيع مكونات UEFI المعرضة للخطر، لكن هذا الإلغاء لا يحدث تلقائيًا عند تثبيت التصحيح، بل يجب على المستخدم تشغيله يدويًا.
نرى أن هذه الثغرة في عملية التحديث تشكل تحديًا كبيرًا، حيث من النادر للغاية أن يتخذ المسؤولون أي إجراء يدوي بعد تطبيق تحديث أمني. هذا هو الاستغلال الذي استخدمه المهاجمون، مما دفعهم إلى «استثمار الوقت في فهم كيفية عمل BlackLotus وإنشاء نسخة مقلدة من هذا البوتكيت». يحذر الباحثون أيضًا من أن تاريخ انتهاء صلاحية شهادة «Windows Production PCA 2011» في 19 أكتوبر 2026 لا يمنع تحميل الثنائيات المعرضة للخطر على أنظمة Windows ما لم يضف المسؤولون الشهادة إلى قائمة الحظر يدويًا.
بالنسبة للمطورين ومديري الأنظمة، هذا التقرير يؤكد على أهمية فهم آليات التحديث الأمنية بشكل كامل. لا يكفي مجرد تطبيق التصحيحات، بل يجب التأكد من تفعيل جميع الإجراءات الوقائية، حتى تلك التي تتطلب تدخلاً يدويًا. إهمال خطوة واحدة يمكن أن يترك الباب مفتوحًا لهجمات معقدة كهذه، مما يعرض الأنظمة والبيانات للخطر.
المصدر: bleepingcomputer.com