Volledig gepatchte Windowscomputers zijn bij een spionage-aanval geïnfecteerd met de BlackX-bootkit die de aanvallers vergaande controle geeft, zo meldt antivirusbedrijf Kaspersky. De aanvallen waren gericht tegen diplomatieke instanties in Tadzjikistan, Oezbekistan en Turkmenistan. Bij de aanval maakten de aanvallers gebruik van een kwetsbaarheid genaamd 'Baton Drop' (CVE-2022-21894) om UEFI Secure Boot van de aangevallen systemen te manipuleren en een malafide driver in de Windows-kernel te laden.

Een zelfde techniek werd eerder al gebruikt door een andere bootkit genaamd BlackLotus, die volgens Kaspersky veel overeenkomsten met BlackX heeft. Voor het installeren van de bootkit hadden de aanvallers al admin-rechten op het betreffende systeem. De malafide driver installeert ook een 'user-mode payload'. Het gaat om een remote access trojan (RAT) gebruikt voor cyberpionage, aldus de virusbestrijder. Deze RAT installeert aanvullende malware op het systeem.

Kaspersky onderzocht hoe het kon dat de bootkit op de geïnfecteerde systemen werkt. Het gebruikte Baton Drop-lek was al in 2023 bekend geworden en Microsoft had hier ook updates voor uitgebracht. In eerste instantie werd aangenomen dat de getroffen machines niet up-to-date waren, maar volgens de onderzoekers waren de systemen volledig gepatcht.

"We ontdekten dat het probleem bij de patch lag", stellen de onderzoekers in een analyse. De patch voor het Baton Drop-lek is ontwikkeld om een specifiek certificaat in te trekken dat is gebruikt voor het signeren van de kwetsbare UEFI-onderdelen. Het intrekken van het certificaat gebeurt niet automatisch na de installatie van de patch. De gebruiker moet dit handmatig doen. "Deze patch is ontworpen om handmatig te worden toegepast", stellen de onderzoekers verder.

Volgens Kaspersky is het vrij ongewoon voor systeembeheerders om na de installatie van een update nog een extra stap uit te voeren. Daarnaast zijn de instructies voor het activeren van de patch 'diep op de website van Microsoft verborgen', zo laten de onderzoekers verder weten. Microsoft heeft plannen om de Baton Drop-patches automatisch op systemen door te voeren, maar dit is nog altijd niet gedaan. De onderzoekers stellen dat de aanvallers achter de BlackX-bootkit ervan uitgingen dat weinig organisaties de Baton Drop-patch handmatig hebben geactiveerd, waardoor de aanval nog steeds werkt. Volgens Kaspersky is de aanval het werk van 'APT41', een aan China gelieerde spionagegroep.