Organizata diplomatike në Taxhikistan, Uzbekistan dhe Turkmenistan u shënjestruan në fillim të vitit 2026 me bootkit-in UEFI BlackX. Sipas Kaspersky, fushata dyshohet se lidhet me APT41, një grup hakerësh i mbështetur nga shteti dhe i lidhur me Kinën. Synimi është shmangia e mbrojtjeve të Windows dhe ruajtja e qasjes së fshehtë afatgjatë.
BlackX vlerësohet si një variant i përditësuar i BlackLotus. Ai shfrytëzon dobësinë CVE-2022-21894, të njohur si Baton Drop, për të ngarkuar kod keqdashës përpara nisjes së sistemit operativ. Instalimi kërkon privilegje administratori ose qasje fizike: bootkit-i shërben për qëndrueshmëri dhe shmangie të mbrojtjeve, jo për depërtimin fillestar.
Edhe sistemet me përditësimet e instaluara mbeten të ekspozuara nëse mungojnë masat shtesë të revokimit të Secure Boot. Këto përfshijnë shtimin e certifikatës “Windows Production PCA 2011” në listën e ndalimit UEFI DBX. Sipas Kaspersky, sulmuesit po shfrytëzojnë pikërisht moszbatimin e këtyre hapave manualë nga organizatat.
Pas shfrytëzimit, BlackX injekton një drejtues keqdashës në kernelin e Windows për të ndërhyrë te programet e sigurisë. Certifikata e përdorur për nënshkrimin e tij është revokuar. Analiza gjeti edhe rutina që aktivizohen kur janë të pranishme produkte Kaspersky ose Avast, por i vlerësoi ato si joefektive.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
