Виправлення для цього існує з 2023 року. Майже ніхто його не увімкнув.
Тиждень тому ми писали про завершення строку дії сертифіката Microsoft Windows Production PCA 2011 19 жовтня і згадували BlackLotus, буткіт, який завантажується раніше за Windows, а отже раніше, ніж будь-що встигає його побачити. Kaspersky щойно оприлюднив розбір копії BlackLotus, знайденої в реальній атаці, і найцікавіше тут не сама шкідлива програма.
Вона називається BlackX. Команда GReAT з Kaspersky описала її 22 жовтня, BleepingComputer долучився 24-го. Її застосовували на початку 2026 року проти дипломатичних установ у Таджикистані, Узбекистані та Туркменістані, а приписують її з середньою впевненістю угрупованню APT41. Вона використовує CVE-2022-21894, вразливість на прізвисько Baton Drop, щоб зареєструвати власний ключ Machine Owner Key і завантажувати будь-які файли EFI в обхід Secure Boot. Далі вона встановлює драйвер ядра, підписаний сертифікатом, виданим на структуру з назвою Wenjiang District Mingyu Network Technology Service Studio, який тихо псує роботу продуктів Kaspersky та Avast, якщо знаходить хоч один із них. Драйвер також ховає файли буткіта, і якщо спробувати відкрити якийсь із них, замість цього відкривається калькулятор Windows.
А тепер те, що стосується всіх решти. Ті машини були пропатчені. Microsoft виправила Baton Drop ще у 2023 році, але встановлення виправлення не відкликає вразливі компоненти завантаження, бо таке відкликання зламало б конфігурації з подвійним завантаженням. Хтось має виставити ключ у реєстрі й запустити заплановане завдання, щоб довести справу до кінця, а на практиці цього майже ніхто не робить. Захист постачили. Він пролежав вимкненим три роки.
Жоден домашній ПК не цікавить шпигунську команду, яка працює по посольствах у Центральній Азії, тож сьогодні ввечері панікувати немає через що. Звичка, яку варто звідси взяти, скромніша: "повністю оновлений" і "повністю захищений" це не те саме речення, а стан Secure Boot на власній машині вартий погляду тепер, коли зміна сертифіката вже позаду. Перевірка стану безпеки в Tendvane зчитує саме цей стан разом із BitLocker, без пошуків по меню.