APT41 針對外交機構發動 BlackX UEFI Bootkit，繞過已修補 Secure Boot 失效

中亞地區的外交機構已被一款名為 BlackX 的先進新型統一可擴充韌體介面（UEFI）啟動木馬攻擊。

這項活動於 2026 年初針對塔吉克、烏茲別克斯坦和土庫曼的外交機構，Kaspersky 在本週發布的 技術報告 指稱，疑似由中國相關的國家贊助駭客組織 APT41 主導。

部署此惡意程式的主要目標是削弱 Microsoft Windows 啟動防禦及第三方安全解決方案，同時長期維持對受感染裝置的隱蔽存取。

值得注意的是，BlackX 被評估為臭名昭著的啟動木馬 BlackLotus 的更新版，該木馬首次於 2022 年底在網路犯罪論壇上被宣傳，並於 2023 年 3 月由 ESET 正式確認其存在。

BlackLotus 設計用於利用已修補的 Secure Boot 旁路漏洞，該漏洞被追蹤為 CVE-2022-21894（CVSS 分數：4.4），亦稱為 Baton Drop，藉此在作業系統啟動前載入惡意程式。然而，成功利用該漏洞取決於攻擊者具備管理員許可權或對目標主機的實體存取。

"重要的是要注意，威脅行為者使用此啟動木馬的主要功能是持續性與防禦迴避機制，"Microsoft 指出當時說。"它不是第一階段負載或初始存取向量，僅能部署於已被威脅行為者取得管理員許可權或實體存取的裝置。"

儘管如此，徹底消除此威脅需採取除安裝最新更新之外的額外措施，包括 執行手動步驟以套用 Microsoft 的 Secure Boot 失效緩解措施... 例如 新增「Windows Production PCA 2011」憑證至 Secure Boot UEFI 禁止清單（DBX）。

俄羅斯網路安全公司發現，攻擊者正利用組織未執行這些手動步驟的事實，從而使其即使在已套用「補丁」的系統上仍能使用 Baton Drop 漏洞。

「2026年10月19日，該證書已過期，但除非將證書列入黑名單，否則不會阻止易受攻擊的二進位檔載入，」研究員 Georgy Kucherin、Vladimir Nestor 與 Vasily Berdnikov 說。

「很可能此行動背後的威脅行為者已考慮到少陣列織意識到手動啟用 Baton Drop 補丁的重要性。因此，我們相信他們決定投入時間瞭解 BlackLotus 的運作方式並建立此啟動程式的仿製品。」

已觀察到攻擊者在透過未說明的方法入侵受害者網路並取得管理員許可權後，部署 BlackX。為安裝啟動程式，威脅行為者會放置以下檔案：

• inst.exe，安裝程式可執行檔
• PVMDIJGKAX2，一個無副檔名的加密檔案，包含安裝所需的檔案與字串

安裝程式隨後透過命令列啟動，指令為 "C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1," 其中 "Q46F6MDLI3RX2KV1" 為 RC4 解密金鑰。

該二進位檔接著將額外檔案投放到系統分割區與 UEFI 分割區，以「極為相似」的方式利用 CVE-2022-21894，與 BlackLotus 使用的手法相同。最終目標不變：安裝 Machine Owner Keys (MOK) 以載入任意 EFI 檔案至受感染主機，並幹擾 Secure Boot。

值得注意的是，BlackLotus 的原始碼從未公開，這顯示 BlackX 背後的威脅行為者可能是逆向原始啟動程式，或是從其他方購買其原始碼。

「無論如何，這是一個有趣的觀察，因為我們很少看到 APT 行為者借用網路犯罪行為者的想法或程式碼，」卡巴斯基表示。

在利用該漏洞後交付的 UEFI 負載被設計為將惡意驅動程式注入 Windows 核心。該驅動程式已使用屬於「Wenjiang District Mingyu Network Technology Service Studio」的公司簽章，該證書已被簽發機構吊銷。

Like in the case of the bring your own vulnerable driver (BYOVD) attack, the driver attempts to tamper with the functioning of endpoint security software installed on the machine. In an interesting twist, some of the unauthorized modifications are allowed to run only if security programs associated with Kaspersky or Avast are present. However, Kaspersky's analysis has found these routines to be ineffective.

不僅滿足於使安全解決方案失效，該驅動程式還投放了使用者模式的網路間諜負載。已觀測到兩個此類負載 -

• 一個可交付額外 .NET 負載的遠端存取木馬，並使用 Google Drive、OneDrive 及 Yandex.Disk 作為指令與控制 (C2)，以融入常規企業工作流程。它還具備蒐集系統資訊並上感測興趣檔案的功能。
• 一個名為 OxiDLLRunner 的惡意 DLL，透過合法的「googleupdate.exe」二進位檔 sideload，該二進位亦由啟動程式交付。該 DLL 進行解密並啟動 Rust 負載，該負載與「archivetj[.]com」通訊以接收並執行更多 DLL 外掛。

BlackX 與 APT41 的聯絡源於 2026 年 6 月的 ESET 報告，該報告記錄了 FishMonger 在 2023 至 2024 年間針對宏都拉斯、臺灣、泰國及巴基斯坦政府機構的攻擊中使用名為 SprySOCKS 的 Windows 後門。FishMonger，亦被追蹤為 Aquatic Panda 及 Earth Lusca，已被 評估 為在 APT41 的旗幟下運作。

這家斯洛伐克網路安全公司表示，他們還發現「有限的跡象」，某些後門版本可能包含 UEFI 啟動程式元件，可能利用 CVE‑2023‑24932，這是另一個與 BlackLotus 相關的安全功能繞過漏洞。

一個有趣的重疊是 BlackX 與 FishMonger 使用的核心植入程式中都出現「xdd」字串，這暗示在那些攻擊中使用的 UEFI 啟動程式可能正是 BlackX。第二個指向中國對應駭客的線索是使用 DLL sideloading 來部署負載——這種模式在中國來源的威脅行為者中 極為常見。

"透過改造商用犯罪軟體工具，該組織能繞過旨在保護 Windows 開機流程的程式，" Kucherin 說。 "這種混合方法證明，先進的對手不需要重新發明輪子就能在高價值網路上建立持續、隱蔽的控制。"

覺得這篇文章有趣嗎？ 追蹤我們的 Google News、Twitter 與 LinkedIn，閱讀更多我們發布的獨家內容。