In Centraal-Azië zijn diplomatieke organisaties doelwit geworden van een geavanceerde BlackX UEFI-bootkit. Volgens onderzoekers van Kaspersky werd de activiteit begin 2026 gericht op entiteiten in onder meer Tadzjikistan, Oezbekistan en Turkmenistan. Het opvallende: zelfs op Windows-systemen die wel gepatcht zijn, kan de dreiging zich blijven misdragen, omdat organisaties bepaalde extra beveiligingsstappen niet altijd handmatig doorvoeren.
De aanval is bovendien gekoppeld aan een China-gerelateerde, staat-gesponsorde actor onder de noemer APT41. Het doel is niet alleen om zichzelf te verankeren, maar ook om langdurige, onzichtbare toegang te behouden terwijl Windows- en beveiligingsmechanismen worden uitgezet of omzeild.
Wat is de BlackX UEFI-bootkit precies?
BlackX is een Unified Extensible Firmware Interface (UEFI) bootkit. Dat betekent dat de malware zich richt op het moment waarop een computer opstart nog vóórdat het besturingssysteem volledig geladen is. Door die vroege fase te beïnvloeden, kan de aanvaller controle nemen over de startketen en beveiligingschecks ondermijnen.
Kaspersky beschrijft BlackX als een update van de eerder bekende bootkit BlackLotus. BlackLotus werd al eind 2022 op criminele fora geadverteerd en later door ESET officieel bevestigd (maart 2023). De kernlogica sluit aan op een reeds gepatchte Secure Boot omzeilingskwetsbaarheid.
Waarom gepatchte systemen toch nog kwetsbaar kunnen zijn
De bootkit probeert een Secure Boot omzeiling te benutten die bekendstaat onder CVE-2022-21894, ook wel Baton Drop. Dat onderdeel lijkt in eerste instantie “ouder” omdat het inmiddels is gepatcht. Toch draait het om een cruciale misser bij veel organisaties: revocation mitigations moeten soms niet alleen via updates worden geactiveerd, maar ook via handmatige stappen.
Voor de Baton Drop-kwetsbaarheid gaat het onder meer om het blokkeren van relevante certificaten door ze toe te voegen aan de Secure Boot UEFI Forbidden List (DBX). In het bijzonder wordt het toevoegen van de “Windows Production PCA 2011” certificate genoemd als onderdeel van de aanpak.
Onderzoekers constateren dat aanvallers kunnen profiteren van organisaties die die handmatige configuratie niet hebben uitgevoerd. Op 19 oktober 2026 liep dat certificaat volgens het onderzoek af, maar dat stopt het laden van kwetsbare onderdelen niet automatisch zolang de certificaten niet expliciet zijn blocklisted via DBX.
Met andere woorden: de patch alleen is niet altijd genoeg om de aanval definitief af te weren. Juist daardoor kan BlackX nog steeds werken op systemen die “wel bijgewerkt” lijken.
De aanval in hoofdlijnen: installatie en opstartmanipulatie
BlackX wordt volgens de analyse ingezet nadat de aanvaller het netwerk heeft doorbroken en administrator privileges heeft verkregen. Daarnaast speelt fysieke toegang een rol bij het soort bootketen-manipulatie waar Secure Boot omzeiling om vraagt, al ligt de nadruk hier vooral op het feit dat de bootkit wordt toegepast op al gecompromitteerde systemen.
Bij het installeren laat de aanvaller bestanden achter, waaronder:
- inst.exe, een installer executable
- PVMDIJGKAX2, een versleuteld bestand zonder extensie met installatie-assets en strings
Daarna wordt de installer gestart via een command line-aanroep zoals: C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1. De laatste parameter is een RC4 key voor het decoderen van de inhoud.
Vervolgens worden extra bestanden neergezet op zowel systeem- als UEFI-partities. Die zetten de Baton Drop logica voort op een manier die “remarkably similar” wordt genoemd aan de aanpak van BlackLotus. Het uiteindelijke doel blijft hetzelfde: Machine Owner Keys (MOK) installeren om het laden van arbitraire EFI-bestanden mogelijk te maken en Secure Boot te verstoren.
Persistente controle: van UEFI naar kernel en verder
De UEFI-payload die BlackX levert, is ontworpen om een kwaadaardige driver in de Windows kernel te injecteren. Die driver is gesigneerd met een certificaat van een organisatie die later door de uitgever is ingetrokken.
Dat is vergelijkbaar met bekende varianten waarbij aanvallers gebruikmaken van ondermijning van beveiligingssoftware. In deze campagne probeert de driver de werking van endpoint security software te manipuleren. Opvallend is dat sommige aanpassingen alleen lijken te draaien wanneer specifieke beveiligingsprogramma’s aanwezig zijn, waaronder software die aan Kaspersky of Avast gelinkt is. Tegelijkertijd meldt Kaspersky dat deze routines in hun analyse niet effectief bleken.
Naast de kernelcomponent wordt ook een payload in gebruikersmodus geleverd voor cyberspionage. Er zijn daarbij twee varianten gezien:
- Een remote access trojan die aanvullende .NET payloads kan leveren en command-and-control (C2) verbergt via Google Drive, OneDrive en Yandex.Disk. De malware verzamelt systeeminformatie en uploadt interessante bestanden.
- Een kwaadaardige DLL, OxiDLLRunner, die via sideloading wordt gestart door het legitieme “googleupdate.exe”. De DLL decrypt en start daarna een Rust-payload die met archivetj[.]com communiceert om extra DLL-plugins te ontvangen en te activeren.
Deze combinatie van UEFI-fase, driver-installatie en spionagepayloads maakt BlackX vooral gevaarlijk voor omgevingen waar langdurige stealth en persistente toegang het grootste risico vormen.
Wat zegt dit over de aanvaller: BlackLotus-ideeën en APT41-links
Een extra reden om alert te blijven: Kaspersky merkt op dat de broncode van BlackLotus niet publiek beschikbaar is geweest. Dat suggereert dat BlackX óf is gebaseerd op reverse engineering, óf dat de aanvallers de code elders hebben gekocht. In beide gevallen laat het zien dat gespecialiseerde actoren niet schromen om bestaande concepten te hergebruiken.
Daarnaast verbindt Kaspersky BlackX aan APT41 op basis van eerder ESET-onderzoek. ESET beschreef een China-aligned actor (FishMonger, ook genoemd als Aquatic Panda en Earth Lusca) die Windows-achterdeur SprySOCKS gebruikte in aanvallen op overheidsdoelen in o.a. Honduras, Taiwan, Thailand en Pakistan tussen 2023 en 2024.
Kaspersky wijst verder op “limited indications” dat sommige backdoorversies mogelijk ook een UEFI-bootkit component bevatten die mogelijk gerelateerd is aan een andere bypass-kwetsbaarheid, CVE-2023-24932, eveneens gelinkt aan de BlackLotus-achtergrond.
Er zijn bovendien aanwijzingen die terug te voeren zijn op overlap in tekenreeksen (onder meer de aanwezigheid van een “xdd”-string) en op DLL sideloading, een patroon dat vaak wordt gezien bij Chinese threat actors.
Praktisch: waar IT-teams op moeten letten
Als je wilt voorkomen dat een BlackX UEFI-bootkit ook jouw opstartketen kan beïnvloeden, draait het niet alleen om het installeren van patches. De belangrijkste takeaway uit dit onderzoek is dat je ook moet controleren of de Secure Boot revocation mitigations correct zijn toegepast.
Concreet betekent dat meestal:
- Verifieer of DBX-verwante mitigaties volledig en correct zijn ingesteld (inclusief de relevante “Forbidden List” entries).
- Check of de beveiligingsketen niet alleen “up-to-date” is, maar ook operationeel de revocation voorkomt voor de kwetsbare scenario’s.
- Reageer op signalen van UEFI-gerelateerde afwijkingen en monitor endpoints op sporen die passen bij driver-injectie en gebruikerspayloads.
Voor wie al bezig is met harde startbescherming is het daarnaast nuttig om breder te kijken naar bekende aanvalspatronen rond boot- en omzeilingsketens. Op onze site behandelen we bijvoorbeeld ook hoe aanvallers beveiligingstools trachten te omzeilen in andere contexten, zoals AI-agenten als insider threat—niet hetzelfde type aanval, maar wel relevant voor het nadenken over verdediging tegen persistente controle en misbruik van toegang.
Conclusie
De BlackX UEFI-bootkit laat zien dat state-sponsored aanvallen niet hoeven te wachten tot “oude” kwetsbaarheden weer nieuw worden. Door te leunen op Secure Boot omzeilingslogica en vooral door het belang van handmatige revocation-stappen, kan de dreiging blijven doorwerken op gepatchte Windows-systemen.
Voor organisaties betekent dit: pak updates aan, maar borg daarnaast dat de bijbehorende Secure Boot mitigaties ook daadwerkelijk correct zijn geactiveerd in de UEFI-omgeving. Alleen dan verlaag je het risico op persistente, onzichtbare controle in de startketen.
Bron: https://thehackernews.com/2026/10/blackx-uefi-bootkit-bypasses-secure.html
