La correzione esiste dal 2023. Quasi nessuno l'ha attivata.

Una settimana fa abbiamo scritto della scadenza del certificato Microsoft Windows Production PCA 2011 il 19 ottobre, citando BlackLotus, il bootkit che si carica prima di Windows e quindi prima che qualcosa possa vederlo. Kaspersky ha ora pubblicato l'analisi di una copia di BlackLotus trovata in circolazione, e la parte interessante non è il malware.

Si chiama BlackX. Il team GReAT di Kaspersky lo ha descritto il 22 ottobre, BleepingComputer è arrivato il 24. È stato usato all'inizio del 2026 contro sedi diplomatiche in Tagikistan, Uzbekistan e Turkmenistan, ed è attribuito con fiducia media ad APT41. Sfrutta CVE-2022-21894, la falla soprannominata Baton Drop, per registrare una propria Machine Owner Key e caricare qualunque file EFI aggirando Secure Boot. Poi installa un driver kernel, firmato con un certificato intestato a una società chiamata Wenjiang District Mingyu Network Technology Service Studio, che manomette in silenzio Kaspersky e Avast se ne trova uno installato. Il driver nasconde anche i file del bootkit, e se provate ad aprirne uno si apre invece la calcolatrice di Windows.

Ecco il punto che riguarda tutti gli altri. Quelle macchine erano aggiornate. Microsoft ha corretto Baton Drop nel 2023, ma installare la correzione non revoca i componenti di avvio vulnerabili, perché quella revoca manderebbe in blocco le configurazioni in dual boot. Qualcuno deve impostare una chiave di registro e lanciare un'operazione pianificata per chiudere il cerchio, e nella pratica quasi nessuno lo fa. La protezione è stata distribuita. È rimasta spenta per tre anni.

Nessun PC di casa interessa a un gruppo di spionaggio che lavora sulle ambasciate dell'Asia centrale, quindi stasera non c'è nulla di cui allarmarsi. L'abitudine da portarsi a casa è più piccola: "completamente aggiornato" e "completamente protetto" non sono la stessa frase, e lo stato di Secure Boot sulla vostra macchina merita un'occhiata ora che il cambio di certificato è passato. Il controllo di sicurezza di Tendvane legge proprio quello stato, insieme a BitLocker, senza andare a caccia nei menu.