BlackX UEFI Bootkit vượt qua Secure Boot trên hệ thống Windows đã vá
"The BlackX UEFI bootkit, linked to APT41, targets diplomatic organizations in Central Asia by exploiting the CVE-2022-21894 (Baton Drop) vulnerability, even on patched systems. Attackers leverage the fact that organizations haven't implemented Secure Boot revocation mitigations. The bootkit installs malicious drivers and user-mode payloads for espionage, utilizing techniques like BYOVD and cloud storage for command-and-control."
BlackX là một UEFI bootkit tinh vi, có khả năng vượt qua Secure Boot và duy trì quyền truy cập vào hệ thống trong thời gian dài. Việc khai thác thành công lỗ hổng CVE-2022-21894 cho phép cài đặt malware ở cấp độ firmware, gây khó khăn cho việc phát hiện và loại bỏ.
Các tổ chức ngoại giao và chính phủ là mục tiêu chính, nhưng bất kỳ doanh nghiệp nào chưa triển khai đầy đủ các biện pháp bảo mật UEFI đều có thể bị tấn công. Việc gián đoạn hoạt động và mất dữ liệu do gián điệp có thể gây thiệt hại đáng kể về tài chính và uy tín.
Kaspersky vừa cảnh báo về BlackX, một UEFI bootkit mới nhắm vào các tổ chức ngoại giao ở Trung Á. BlackX lợi dụng lỗ hổng CVE-2022-21894 (Baton Drop), ngay cả trên các hệ thống đã cài bản vá.
Đây là bản sao của BlackLotus, một bootkit nổi tiếng từ cuối năm 2022. Điểm đáng chú ý là BlackX vẫn hoạt động vì nhiều tổ chức chưa thực hiện các bước Secure Boot revocation cần thiết sau khi vá lỗi.
BlackX cài đặt driver độc hại và payload ở chế độ người dùng để thực hiện gián điệp. Kỹ thuật BYOVD (bring your own vulnerable driver) và các dịch vụ lưu trữ đám mây như Google Drive, OneDrive, Yandex.Disk được sử dụng cho command-and-control (C2). Driver này cố gắng vô hiệu hóa phần mềm bảo mật, đặc biệt là Kaspersky và Avast, nhưng không thành công.
APT41, một nhóm tin tặc liên kết với Trung Quốc, được cho là đứng sau chiến dịch này. Mã nguồn BlackLotus chưa từng được công khai, cho thấy kẻ tấn công đã reverse-engineer hoặc mua lại nó.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc BlackX vẫn hoạt động trên các hệ thống đã vá cho thấy lỗ hổng trong quy trình triển khai bản vá của nhiều tổ chức. Các doanh nghiệp Việt Nam, đặc biệt là các tổ chức chính phủ hoặc có liên quan đến ngoại giao, nên kiểm tra kỹ xem đã thực hiện đầy đủ các bước revocation sau khi vá CVE-2022-21894 chưa. Điều đáng chú ý là việc sử dụng các dịch vụ lưu trữ đám mây phổ biến cho C2 có thể giúp BlackX lẫn tránh sự phát hiện, đòi hỏi các giải pháp bảo mật phải có khả năng phân tích lưu lượng mạng sâu.