Remediul pentru asta există din 2023. Aproape nimeni nu l-a pornit.
Acum o săptămână am scris despre expirarea certificatului Microsoft Windows Production PCA 2011 pe 19 octombrie și am pomenit BlackLotus, bootkitul care se încarcă înaintea Windows și, deci, înainte ca ceva să îl poată vedea. Kaspersky tocmai a publicat analiza unei copii a BlackLotus folosite în atacuri reale, iar partea interesantă nu este programul malițios.
Se numește BlackX. Echipa GReAT de la Kaspersky l-a descris pe 22 octombrie, iar BleepingComputer a urmat pe 24. A fost folosit la începutul lui 2026 împotriva unor reprezentanțe diplomatice din Tadjikistan, Uzbekistan și Turkmenistan și este atribuit cu încredere medie grupării APT41. Exploatează CVE-2022-21894, vulnerabilitatea poreclită Baton Drop, ca să își înregistreze propria Machine Owner Key și să încarce orice fișier EFI dorește, ocolind Secure Boot. Apoi instalează un driver de kernel, semnat cu un certificat emis unei entități numite Wenjiang District Mingyu Network Technology Service Studio, care umblă pe tăcute la produsele Kaspersky și Avast dacă găsește vreunul instalat. Driverul ascunde și fișierele bootkitului, iar dacă încerci să deschizi unul ți se deschide în schimb calculatorul din Windows.
Aici e partea care îi privește pe toți ceilalți. Calculatoarele acelea erau actualizate. Microsoft a reparat Baton Drop în 2023, dar instalarea reparației nu revocă componentele de pornire vulnerabile, pentru că revocarea ar bloca configurațiile cu dublă pornire. Cineva trebuie să pună o cheie în registru și să ruleze o activitate programată ca să ducă treaba la capăt, iar în practică aproape nimeni nu o face. Protecția a fost livrată. A stat oprită trei ani.
Niciun calculator de acasă nu interesează o echipă de spionaj care lucrează pe ambasade din Asia Centrală, așa că în seara asta nu e nimic de care să te sperii. Obiceiul care merită luat de aici e mai mic: "complet actualizat" și "complet protejat" nu sunt aceeași propoziție, iar starea Secure Boot de pe propriul calculator merită o privire acum, după ce schimbarea certificatului a trecut. Verificarea stării de securitate din Tendvane citește exact acea stare, împreună cu BitLocker, fără să cauți prin meniuri.