BlackX использует Baton Drop для обхода Secure Boot

Kaspersky обнаружила UEFI-буткит BlackX, применённый в шпионской кампании начала 2026 года против диппредставительств в Таджикистане, Узбекистане и Туркменистане. Буткит эксплуатирует уязвимость Baton Drop (CVE-2022-21894) по схеме, близкой к BlackLotus, и загружает подписанный отозванным сертификатом драйвер, отключающий защиту Kaspersky и Avast. Атрибуция на APT41 — со средней уверенностью.

• BlackX обходит Secure Boot через CVE-2022-21894, как и BlackLotus
• Цели — диппредставительства в Таджикистане, Узбекистане и Туркменистане
• Драйвер подписан отозванным сертификатом Wenjiang District Mingyu
• Отзыв сертификата Windows Production PCA 2011 не срабатывает автоматически