Специалисты «Лаборатории Касперского» выявили новый UEFI-буткит BlackX, применявшийся в целевых атаках на дипломатические ведомства Таджикистана, Узбекистана и Туркменистана. Вредоносная программа запускается до загрузки операционной системы и способна обходить механизм Secure Boot.

Ключевая особенность BlackX — эксплуатация давно известной уязвимости Baton Drop. По данным исследователей, этот метод позволяет обходить защиту даже на системах с полностью установленными патчами под управлением Windows, что делает стандартные обновления бесполезными против данной атаки.

Буткит работает на уровне прошивки UEFI, то есть закрепляется ниже операционной системы и традиционных средств защиты. Такой уровень внедрения даёт атакующим устойчивый контроль над процессом загрузки и затрудняет обнаружение вредоносного кода обычными антивирусными средствами.

Целью кампании выбраны дипломатические структуры трёх центральноазиатских государств, что указывает на целенаправленный характер операции, а не массовое распространение. Детали о том, каким образом вредонос доставлялся на устройства, в сообщении не раскрываются.

Обнаружение BlackX вновь показывает, что старые уязвимости в цепочке загрузки остаются рабочим инструментом для атакующих. Последствия для затронутых ведомств могут включать компрометацию загрузочного процесса и необходимость перепрошивки firmware на инфицированных машинах.