BlackX-startkit utnyttjade Baton Drop för att kringgå Secure Boot

Enligt BleepingComputer, som hänvisar till Kaspersky-forskare, utnyttjade ett UEFI-startkit kallat BlackX sårbarheten Baton Drop för att kringgå Secure Boot-skydd under en spionkampanj som upptäcktes i början av 2026. Kampanjen riktades mot diplomatiska myndigheter i Centralasien, särskilt i Tadzjikistan, Uzbekistan och Turkmenistan.

Forskarna fann att BlackX använder en exploateringsmetod som liknar den i BlackLotus, som också utnyttjade Baton Drop (CVE-2022-21894). Metoden kan registrera egna Machine Owner Keys och läsa in valfria EFI-filer. BlackX använder en annan kärndrivrutin och andra efterföljande skadliga komponenter. Kaspersky sade att startkitet kan ha utvecklats genom baklängesanalys av BlackLotus eller från dess källkod. Forskarna hittade BlackX-kod som saknas i den ofullständiga offentliga läckan av BlackLotus-källkoden.

BlackX läser in en skadlig Windows-kärndrivrutin som signerats med ett numera återkallat certifikat. Drivrutinen kan stänga av säkerhetsprocesser, påverka registeråteranrop och manipulera Event Tracing for Windows-leverantörer. Vissa åtgärder är inställda på att köras när produkter från Kaspersky eller Avast upptäcks. Drivrutinen skyddar också startkitets filer genom att fånga upp försök att öppna dem och i stället starta Windows Calculator.

Kaspersky sade att alla identifierade offer använde fullt uppdaterade Windows-versioner. Startkitet fungerade ändå eftersom administratörerna inte manuellt hade tillämpat ytterligare återkallelser av Secure Boot-certifikat. Forskarna sade att installationen av Baton Drop-uppdateringen inte utlöser återkallelsen automatiskt. De varnade också för att certifikatet ”Windows Production PCA 2011” inte slutar tillåta sårbara binärfiler att läsas in när det löper ut den 19 oktober 2026, om inte administratörer lägger till certifikatet i en spärrlista.