Poprawka na to istnieje od 2023 roku. Prawie nikt jej nie włączył.

Tydzień temu pisaliśmy o wygaśnięciu certyfikatu Microsoft Windows Production PCA 2011 w dniu 19 października i wspomnieliśmy BlackLotus, bootkit, który ładuje się przed Windows, a więc zanim cokolwiek zdąży go zobaczyć. Kaspersky opisał właśnie kopię BlackLotus znalezioną w realnym ataku i najciekawsze w całej sprawie nie jest samo złośliwe oprogramowanie.

Nazywa się BlackX. Zespół GReAT firmy Kaspersky opisał je 22 października, BleepingComputer dołączył 24. Użyto go na początku 2026 roku przeciwko placówkom dyplomatycznym w Tadżykistanie, Uzbekistanie i Turkmenistanie, a przypisywane jest ze średnią pewnością grupie APT41. Wykorzystuje CVE-2022-21894, lukę nazywaną Baton Drop, aby zarejestrować własny klucz Machine Owner Key i ładować dowolne pliki EFI z pominięciem Secure Boot. Potem instaluje sterownik jądra, podpisany certyfikatem wystawionym na podmiot o nazwie Wenjiang District Mingyu Network Technology Service Studio, który po cichu manipuluje produktami Kaspersky i Avast, jeśli którykolwiek znajdzie na komputerze. Sterownik ukrywa też pliki bootkita, a przy próbie otwarcia któregoś otwiera zamiast niego kalkulator Windows.

I teraz rzecz, która dotyczy wszystkich pozostałych. Te komputery miały łatki. Microsoft naprawił Baton Drop w 2023 roku, ale instalacja poprawki nie unieważnia podatnych komponentów startowych, bo takie unieważnienie zablokowałoby konfiguracje z podwójnym rozruchem. Ktoś musi ustawić wpis w rejestrze i uruchomić zadanie harmonogramu, żeby dokończyć sprawę, a w praktyce prawie nikt tego nie robi. Ochrona została dostarczona. Przeleżała wyłączona trzy lata.

Żaden domowy komputer nie jest celem grupy szpiegowskiej pracującej nad ambasadami w Azji Środkowej, więc dziś wieczorem nie ma powodu do paniki. Nawyk, który warto z tego wziąć, jest mniejszy: "w pełni zaktualizowany" i "w pełni chroniony" to nie to samo zdanie, a stan Secure Boot na własnym komputerze zasługuje teraz na spojrzenie, skoro wymiana certyfikatu już za nami. Kontrola stanu zabezpieczeń Tendvane odczytuje dokładnie ten stan, razem z BitLockerem, bez szukania po menu.