Die Lösung dafür gibt es seit 2023. Fast niemand hat sie eingeschaltet.
Vor einer Woche ging es hier um den Ablauf des Zertifikats Microsoft Windows Production PCA 2011 am 19. Oktober, samt einer Erwähnung von BlackLotus, dem Bootkit, das vor Windows lädt und damit bevor irgendetwas es sehen kann. Kaspersky hat jetzt einen BlackLotus-Nachbau beschrieben, der tatsächlich im Einsatz war, und das Interessante daran ist nicht die Schadsoftware.
Es heißt BlackX. Kasperskys GReAT-Team hat es am 22. Oktober beschrieben, BleepingComputer zog am 24. nach. Eingesetzt wurde es Anfang 2026 gegen diplomatische Vertretungen in Tadschikistan, Usbekistan und Turkmenistan, zugeordnet wird es mit mittlerer Zuversicht APT41. Es nutzt CVE-2022-21894 aus, die Lücke mit dem Spitznamen Baton Drop, um einen eigenen Machine Owner Key einzutragen und beliebige EFI-Dateien an Secure Boot vorbei zu laden. Danach legt es einen Kerneltreiber ab, signiert mit einem Zertifikat für eine Firma namens Wenjiang District Mingyu Network Technology Service Studio, der Kaspersky und Avast still manipuliert, falls eines davon installiert ist. Der Treiber versteckt außerdem die Dateien des Bootkits, und wer eine davon öffnen will, bekommt stattdessen den Windows-Rechner.
Jetzt der Teil, der alle anderen angeht. Diese Rechner waren gepatcht. Microsoft hat Baton Drop 2023 behoben, aber die Installation des Patches widerruft die verwundbaren Startkomponenten nicht, weil ein solcher Widerruf Dual-Boot-Systeme lahmlegen würde. Jemand muss einen Registry-Schalter setzen und eine geplante Aufgabe starten, um die Sache abzuschließen, und in der Praxis tut das fast niemand. Der Schutz wurde ausgeliefert. Er lag drei Jahre lang abgeschaltet da.
Kein Heim-PC ist das Ziel einer Spionagegruppe, die an zentralasiatischen Botschaften arbeitet, heute Abend besteht also kein Grund zur Panik. Die Gewohnheit, die man mitnehmen sollte, ist kleiner: "vollständig aktualisiert" und "vollständig geschützt" sind nicht derselbe Satz, und der Secure-Boot-Status des eigenen Rechners verdient einen Blick, jetzt wo der Zertifikatswechsel durch ist. Die Sicherheitsprüfung von Tendvane liest genau diesen Status aus, zusammen mit BitLocker, ohne dass man sich durch Menüs suchen muss.