بوت‌کیت BlackX با سوءاستفاده از رخنه قدیمی Secure Boot به ویندوز نفوذ کرد

یک بوت‌کیت تازه با نام BlackX در یک عملیات جاسوسی هدفمند توانسته است از رخنه قدیمی Baton Drop برای عبور از Secure Boot استفاده کند؛ رخنه‌ای که با شناسه CVE-2022-21894 شناخته می‌شود. نکته مهم این گزارش آن است که قربانیان از نسخه‌های کاملاً به‌روز ویندوز استفاده می‌کردند، اما اقدام تکمیلی لازم برای ابطال گواهی‌های آسیب‌پذیر را به‌صورت دستی فعال نکرده بودند. بنابراین، «نصب همه به‌روزرسانی‌ها» در این پرونده لزوماً به معنای بسته‌شدن کامل مسیر حمله نبوده است.

بر اساس تحلیل منتشرشده، BlackX اوایل سال ۲۰۲۶ کشف شد و نهادهای دیپلماتیک در آسیای مرکزی، به‌ویژه در تاجیکستان، ازبکستان و ترکمنستان را هدف گرفت. انتساب این عملیات به گروه دولتی APT41 با سطح اطمینان متوسط انجام شده است؛ به همین دلیل، این نسبت را باید ارزیابی پژوهشگران دانست، نه یک واقعیت قطعی یا حکم نهایی درباره عامل حمله.

چرا BlackX با بدافزارهای عادی فرق دارد؟

بیشتر بدافزارهای رایج پس از بالا آمدن سیستم‌عامل فعال می‌شوند؛ اما بوت‌کیت UEFI می‌کوشد پیش از ویندوز و در زنجیره راه‌اندازی دستگاه جا بگیرد. این جایگاه به مهاجم اجازه می‌دهد کد خود را در مرحله‌ای اجرا کند که بسیاری از ابزارهای امنیتی سطح سیستم‌عامل هنوز شروع به کار نکرده‌اند. Secure Boot دقیقاً برای جلوگیری از همین وضعیت طراحی شده است: فقط اجزای مورد اعتماد و دارای امضای معتبر باید در زمان بوت اجرا شوند.

BlackX با سوءاستفاده از Baton Drop این زنجیره اعتماد را دور می‌زند. پژوهشگران گفته‌اند پیاده‌سازی این بخش شباهت زیادی به BlackLotus دارد؛ بوت‌کیتی که پیش‌تر نشان داده بود می‌توان Secure Boot را حتی در نصب‌های به‌روز ویندوز ۱۱ دور زد. BlackX می‌تواند کلیدهای سفارشی Machine Owner Key یا MOK را ثبت کند و فایل‌های EFI دلخواه را در مسیر بوت قرار دهد. به بیان ساده، مهاجم می‌کوشد سازوکار اعتماد سیستم را وادار کند اجزایی را بپذیرد که نباید مجاز باشند.

یک وصله نصب‌شده، اما حفاظتی که کامل فعال نشده بود

مسئله اصلی به شیوه اجرای ابطال‌ها برمی‌گردد. اصلاح Baton Drop برای بی‌اعتبارکردن گواهی Windows Production PCA 2011 طراحی شده بود؛ گواهی‌ای که برای امضای برخی اجزای UEFI آسیب‌پذیر به کار رفته است. با این حال، ابطال مورد نیاز صرفاً با نصب معمول به‌روزرسانی فعال نمی‌شود و مدیر سامانه باید مرحله تکمیلی را به‌صورت دستی اجرا کند.

این تفاوت عملیاتی مهم است. مدیران معمولاً انتظار دارند نصب وصله پایان فرایند باشد، اما تغییرات Secure Boot می‌تواند بر رسانه‌های بازیابی، بوت شبکه و امکان راه‌اندازی دستگاه اثر بگذارد. به همین دلیل، اجرای برخی ابطال‌ها محتاطانه و مرحله‌ای انجام می‌شود. در پرونده BlackX، مهاجم ظاهراً از همین فاصله میان «دریافت وصله» و «فعال‌سازی کامل ابطال» استفاده کرده است.

پژوهشگران همچنین هشدار داده‌اند که تاریخ انقضای ۱۹ اکتبر ۲۰۲۶ برای گواهی Windows Production PCA 2011 به‌تنهایی مانع بارگذاری فایل‌های آسیب‌پذیر نمی‌شود. اگر گواهی به فهرست مسدودسازی اضافه نشده باشد، وجود باینری قدیمی در زنجیره بوت همچنان می‌تواند مسیر سوءاستفاده را باز نگه دارد. بنابراین، تاریخ انقضا جایگزین سیاست ابطال نیست.

BlackX پس از عبور از Secure Boot چه می‌کند؟

پس از ورود به زنجیره راه‌اندازی، BlackX یک درایور کرنل ویندوز را بارگذاری می‌کند که با گواهی‌ای امضا شده بود که اکنون لغو شده است. کار این درایور فقط ماندگاری نیست: فرایندهای امنیتی و برخی callbackهای رجیستری را مختل می‌کند و در سازوکار Event Tracing for Windows یا ETW دست می‌برد تا نظارت و ثبت رویدادها دشوارتر شود.

بخشی از این دست‌کاری‌ها تنها در صورت شناسایی محصولات کسپرسکی یا Avast فعال می‌شود. گزارش موجود می‌گوید هدف مهاجم تضعیف دید ابزارهای دفاعی بوده است، هرچند پژوهشگران کسپرسکی گفته‌اند این سازوکار علیه راهکارهای خود شرکت مؤثر نیست. این ادعا درباره کارایی دفاع باید با همین انتساب خوانده شود و نباید به معنای مصونیت عمومی همه محصولات یا همه پیکربندی‌ها تلقی شود.

بوت‌کیت برای پنهان‌کردن فایل‌های خود نیز رفتاری غیرعادی دارد: درخواست کاربر برای بازکردن برخی فایل‌های آلوده را منحرف می‌کند و به‌جای آن ماشین‌حساب ویندوز را اجرا می‌کند. در ادامه، ابزارهای جاسوسی روی دستگاه قرار می‌گیرند. یکی از آن‌ها یک تروجان دسترسی از راه دور است که از Google Drive، OneDrive یا Yandex.Disk برای ارتباط فرمان و کنترل استفاده می‌کند و می‌تواند محموله‌های دات‌نت را اجرا یا فایل‌ها را جابه‌جا کند. استفاده از سرویس‌های ابری شناخته‌شده می‌تواند تشخیص ترافیک مخرب را برای مدافعان دشوارتر کند، زیرا ارتباط بدافزار در میان ترافیک عادی سازمان پنهان می‌شود.

رد پای BlackLotus چه چیزی را نشان می‌دهد؟

تحلیل کد نشان داده است BlackX فقط از ایده BlackLotus الهام نگرفته و بخش‌هایی دارد که به نسخه‌های غیرعمومی آن نزدیک است. بخشی از کد BlackLotus در ژوئیه ۲۰۲۳ منتشر شد، اما آن افشا کامل نبود. پژوهشگران نمونه‌هایی از BlackLotus را دیده‌اند که شامل قطعه‌کدهای غایب در مخزن عمومی اما حاضر در BlackX بوده است.

از این شباهت دو احتمال مطرح شده است: سازندگان BlackX یا BlackLotus را مهندسی معکوس کرده‌اند، یا به کد منبعی دسترسی پیدا کرده‌اند که در افشای عمومی وجود نداشت. داده‌های فعلی برای انتخاب قطعی میان این دو توضیح کافی نیست. در نتیجه، نمی‌توان صرف شباهت فنی را مدرک هویت مشترک نویسندگان یا انتقال مستقیم کد دانست.

مدیران شبکه چه چیزی را باید بررسی کنند؟

این گزارش نشان نمی‌دهد همه کاربران ویندوز آلوده شده‌اند یا هر دستگاه به‌روز در معرض بهره‌برداری فعال قرار دارد. عملیات مشاهده‌شده هدفمند و متمرکز بر نهادهای دیپلماتیک آسیای مرکزی بوده است. با این حال، شکاف میان نصب وصله و فعال‌سازی ابطال برای سازمان‌هایی که Secure Boot را بخشی از مدل اعتماد خود می‌دانند، اهمیت عمومی دارد.

مدیران باید وضعیت اجرای ابطال‌های Secure Boot را جدا از وضعیت معمول Windows Update بررسی کنند؛ به‌خصوص در محیط‌هایی که رسانه بازیابی، بوت شبکه یا سامانه‌های قدیمی دارند. چنین تغییراتی باید با آزمون سازگاری و برنامه بازیابی انجام شود، زیرا اجرای نادرست ابطال می‌تواند مانع راه‌اندازی یا استفاده از رسانه‌های قدیمی شود. هم‌زمان، رویدادهای غیرعادی در زنجیره بوت، بارگذاری درایورهای دارای گواهی لغوشده، اختلال در ETW و ارتباط غیرمنتظره فرایندها با سرویس‌های ذخیره‌سازی ابری از نشانه‌هایی هستند که تیم‌های دفاعی باید در بررسی رخدادها کنار هم قرار دهند.

درس اصلی BlackX این است که امنیت راه‌اندازی تنها به وجود یک گزینه فعال در تنظیمات یا نصب آخرین وصله محدود نمی‌شود. اعتماد در UEFI به مجموعه‌ای از گواهی‌ها، فهرست‌های ابطال، رسانه‌های بوت و تصمیم‌های اجرایی وابسته است. اگر یکی از این حلقه‌ها به‌روزرسانی نشود، مهاجم می‌تواند از مؤلفه‌ای قدیمی برای عبور از حفاظی استفاده کند که روی کاغذ فعال به نظر می‌رسد.