Nach Einschätzung der Forscher handelt es sich bei BlackX um eine überarbeitete Fassung von BlackLotus. Jenes Bootkit wurde Ende 2022 erstmals in Cybercrime-Foren beworben, bevor ESET seine Existenz im März 2023 offiziell bestätigte. BlackLotus nutzt die inzwischen gepatchte Secure-Boot-Umgehung CVE-2022-21894 (CVSS-Wert 4,4), auch bekannt als Baton Drop, um Schadcode vor dem Start des Betriebssystems zu laden. Voraussetzung ist, dass der Angreifer bereits über Administratorrechte oder physischen Zugang zum Zielsystem verfügt.
„Es ist entscheidend festzuhalten, dass der Einsatz dieses Bootkits durch einen Angreifer in erster Linie ein Mechanismus zur Persistenz und zur Umgehung von Abwehrmaßnahmen ist", hielt Microsoft seinerzeit fest. „Es ist keine Nutzlast der ersten Stufe und kein Vektor für den Erstzugriff; es kann nur auf einem Gerät eingesetzt werden, zu dem sich ein Angreifer bereits privilegierten oder physischen Zugang verschafft hat."
Um die Gefahr vollständig auszuräumen, genügt das Einspielen des Updates allerdings nicht. Nötig sind zusätzliche manuelle Schritte, mit denen Microsofts Secure-Boot-Widerrufsmaßnahmen aktiviert werden – unter anderem die Aufnahme des Zertifikats „Windows Production PCA 2011" in die Secure-Boot-Sperrliste DBX der UEFI-Firmware. Genau hier setzen die Angreifer an: Kaspersky stellte fest, dass viele Organisationen diese manuellen Schritte nie ausgeführt haben, sodass sich Baton Drop auch auf vermeintlich gepatchten Systemen weiterhin ausnutzen lässt.
„Am 19. Oktober 2026 ist dieses Zertifikat abgelaufen, doch das hindert die verwundbaren Binärdateien nicht am Laden, solange das Zertifikat nicht auf die Sperrliste gesetzt wird", schreiben die Forscher Georgy Kucherin, Vladimir Nestor und Vasily Berdnikov. „Wahrscheinlich hat der Akteur hinter dieser Kampagne einkalkuliert, dass nur wenige Organisationen die Bedeutung der manuellen Aktivierung des Baton-Drop-Patches erkannt haben. Deshalb dürfte er Zeit investiert haben, um die Funktionsweise von BlackLotus zu verstehen und einen Nachbau dieses Bootkits zu erstellen."
Beobachtet wurde, dass BlackX erst nach dem Einbruch in die Opfernetzwerke – die Methode des Erstzugriffs ist unbekannt – und nach Erlangen von Administratorrechten installiert wird. Dabei legen die Angreifer zwei Dateien ab:
- inst.exe – eine ausführbare Installationsdatei
- PVMDIJGKAX2 – eine verschlüsselte Datei ohne Erweiterung, die für die Installation benötigte Dateien und Zeichenketten enthält
Gestartet wird der Installer über die Kommandozeile mit „C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1"; „Q46F6MDLI3RX2KV1" ist dabei der RC4-Schlüssel für die Entschlüsselung. Anschließend legt die Binärdatei weitere Dateien sowohl auf der System- als auch auf der UEFI-Partition ab und nutzt CVE-2022-21894 auf eine Weise aus, die dem Vorgehen von BlackLotus „bemerkenswert ähnlich" ist. Ziel ist wie beim Vorbild die Installation von Machine Owner Keys (MOK), um beliebige EFI-Dateien zu laden und Secure Boot zu stören.
Bemerkenswert: Der Quellcode von BlackLotus ist nie öffentlich geworden. Die Hintermänner von BlackX müssen das Original also entweder zurückentwickelt oder den Quellcode von Dritten gekauft haben. „So oder so ist das eine interessante Beobachtung, denn wir sehen selten, dass APT-Akteure Ideen oder Code von Cybercrime-Akteuren übernehmen", so Kaspersky.
Die nach der Ausnutzung der Schwachstelle geladene UEFI-Nutzlast schleust einen bösartigen Treiber in den Windows-Kernel ein. Dieser Treiber ist mit einem Zertifikat des Unternehmens Wenjiang District Mingyu Network Technology Service Studio signiert; der Aussteller hat das Zertifikat inzwischen widerrufen. Ähnlich wie bei BYOVD-Angriffen (Bring Your Own Vulnerable Driver) versucht der Treiber, die Arbeitsweise installierter Endpoint-Security-Software zu manipulieren. Kurios dabei: Einige der unbefugten Änderungen werden nur dann ausgeführt, wenn Sicherheitsprogramme von Kaspersky oder Avast vorhanden sind. Kasperskys Analyse ergab jedoch, dass diese Routinen wirkungslos sind.
Darüber hinaus setzt der Treiber eine Nutzlast im Benutzermodus für Cyberspionage ab. Zwei Varianten wurden beobachtet:
- ein Fernzugriffstrojaner, der weitere .NET-Nutzlasten nachladen kann und Google Drive, OneDrive sowie Yandex.Disk zur Kommunikation mit der Befehlsinfrastruktur nutzt, um sich in gewöhnliche Unternehmensabläufe einzufügen; er sammelt zudem Systeminformationen und lädt ausgewählte Dateien hoch
- eine bösartige DLL namens OxiDLLRunner, die per Sideloading über die legitime, ebenfalls vom Bootkit mitgelieferte Binärdatei „googleupdate.exe" geladen wird; sie entschlüsselt und startet eine Rust-Nutzlast, die über „archivetj[.]com" weitere DLL-Plugins empfängt und ausführt
Die Verbindung von BlackX zu APT41 stützt sich auf einen ESET-Bericht vom Juni 2026. Darin wurde dokumentiert, wie FishMonger zwischen 2023 und 2024 eine Windows-Hintertür namens SprySOCKS gegen Regierungsstellen in Honduras, Taiwan, Thailand und Pakistan einsetzte. FishMonger, auch als Aquatic Panda und Earth Lusca geführt, wird dem APT41-Umfeld zugerechnet. ESET fand zudem „begrenzte Hinweise" darauf, dass manche Versionen der Hintertür eine UEFI-Bootkit-Komponente enthalten könnten, die vermutlich CVE-2023-24932 ausnutzt – eine weitere Umgehung von Sicherheitsfunktionen mit Bezug zu BlackLotus.
Eine auffällige Überschneidung ist die Zeichenkette „xdd", die sowohl in BlackX als auch im von FishMonger genutzten Kernel-Implantat auftaucht. Damit könnte es sich bei dem in jenen Angriffen verwendeten UEFI-Bootkit um BlackX handeln. Ein zweiter Hinweis auf chinesisch ausgerichtete Angreifer ist der Einsatz von DLL-Sideloading zur Auslieferung der Nutzlasten – ein bei Akteuren chinesischen Ursprungs äußerst verbreitetes Muster.
„Durch die Anpassung eines kommerziellen Crimeware-Werkzeugs konnte die Gruppe Verfahren umgehen, die den Windows-Startprozess schützen sollen", sagte Kucherin. „Dieser hybride Ansatz belegt, dass versierte Gegner das Rad nicht neu erfinden müssen, um dauerhafte, unsichtbare Kontrolle über hochwertige Netzwerke zu erlangen."