חוקרי Kaspersky תיארו bootkit בשם BlackX שנטען עוד לפני מערכת ההפעלה ומנצל את CVE-2022-21894 כדי לעקוף את Secure Boot. הנקודה החשובה לצוותי IT: מערכת שהותקנו בה עדכוני Windows עדיין עלולה להיות פגיעה, אם לא בוצעו בה ביטולי ההרשאה הידניים של Microsoft.
הפרטים
לפי Kaspersky, הקוד נחשב לגרסה מעודכנת של BlackLotus. קוד המקור של BlackLotus מעולם לא פורסם, ולכן החוקרים מעריכים שהתוקפים פירקו אותו לגורמים או רכשו אותו. הפעילות נצפתה בתחילת 2026 נגד גופים דיפלומטיים בטג'יקיסטן, באוזבקיסטן ובטורקמניסטן, והיא מיוחסת בהערכה ל-APT41 דרך קבוצת FishMonger.
הניצול דורש הרשאות מנהל או גישה פיזית. לאחר מכן נטען דרייבר גרעין זדוני שמנסה לשבש תוכנות אבטחה בנקודת הקצה, ולצידו נטענים RAT שמשתמש ב-Google Drive, ב-OneDrive וב-Yandex.Disk לתקשורת פיקוד ובקרה, וטוען מבוסס Rust. לפי החוקרים, הניסיונות לשבש מוצרים של שני ספקי אנטי-וירוס לא היו יעילים.
נקודות לשים לב
- אל תסתפק בהתקנת העדכונים: ודא שבוצעו ביטולי ה-Secure Boot של Microsoft ושהאישור Windows Production PCA 2011 נוסף לרשימת ה-DBX. האישור פג ב-19 באוקטובר 2026 אך עדיין מאפשר טעינה של קבצים פגיעים אם הוא אינו חסום.
- הניצול דורש הרשאות מנהל או גישה פיזית, ולכן הרשאות מצומצמות והגנה פיזית על תחנות רגישות מצמצמות את הסיכון.
- חפש במערכות את
C:\ProgramData\Intel\inst.exe, קובץgoogleupdate.exeשטוען ספרייה חשודה, קבצים חריגים במחיצת ה-EFI, ושינויים ברישום MOK. - הייחוס ל-APT41 הוא הערכה ולא ודאות.
מקורות: Kaspersky Securelist · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
