BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot

Un nuevo boot­kit UEFI lla­ma­do BlackX fue uti­li­za­do en una cam­pa­ña de es­pio­na­je di­ri­gi­da a mi­sio­nes di­plo­má­ti­cas en Asia Cen­tral, afec­tan­do es­pe­cí­fi­ca­men­te a paí­ses como Ta­yi­kis­tán, Uz­be­kis­tán y Turk­me­nis­tán. Los ana­lis­tas atri­bu­yen esta ac­ti­vi­dad, con un nivel de con­fian­za medio, al grupo APT41, vin­cu­la­do al pa­tro­ci­nio es­ta­tal chino y co­no­ci­do tam­bién por otros nom­bres como Brass Typhoon, Wic­ked Panda y Ba­rium.

El aná­li­sis rea­li­za­do sobre BlackX re­ve­la gran­des si­mi­li­tu­des téc­ni­cas con Blac­kLo­tus, un pro­gra­ma ma­li­cio­so co­no­ci­do pre­via­men­te. La he­rra­mien­ta em­plea el fallo iden­ti­fi­ca­do como Baton Drop para sal­tar­se las me­di­das de pro­tec­ción del arran­que se­gu­ro (Se­cu­re Boot). Aun­que su fun­cio­na­mien­to guar­da pa­ra­le­lis­mos es­tre­chos con Blac­kLo­tus e in­cor­po­ra ele­men­tos au­sen­tes en el có­di­go fuen­te fil­tra­do de este úl­ti­mo, BlackX des­plie­ga con­tro­la­do­res de nú­cleo y car­gas úti­les di­fe­ren­tes en­fo­ca­dos en la­bo­res de es­pio­na­je.

Entre las fun­cio­nes del boot­kit se en­cuen­tra la in­yec­ción de un con­tro­la­dor de Win­dows que blo­quea pro­ce­sos de se­gu­ri­dad, in­ter­fie­re con el re­gis­tro y al­te­ra los re­gis­tros de even­tos para evi­tar la vi­gi­lan­cia, ata­can­do es­pe­cí­fi­ca­men­te pro­duc­tos de mar­cas con­cre­tas. Asi­mis­mo, el soft­wa­re im­ple­men­ta me­ca­nis­mos para pro­te­ger sus ar­chi­vos y des­car­ga com­po­nen­tes adi­cio­na­les de con­trol re­mo­to y carga de com­ple­men­tos ma­li­cio­sos a tra­vés de ser­vi­cios de al­ma­ce­na­mien­to en la nube.

El éxito de la in­fec­ción se debió a que, a pesar de con­tar con sis­te­mas ac­tua­li­za­dos, los ad­mi­nis­tra­do­res omi­tie­ron la ac­ti­va­ción ma­nual de las re­vo­ca­cio­nes adi­cio­na­les ne­ce­sa­rias para com­ple­tar la mi­ti­ga­ción de la vul­ne­ra­bi­li­dad ex­plo­ta­da. Los in­ves­ti­ga­do­res ad­vier­ten que este pro­ce­so in­com­ple­to deja una bre­cha ope­ra­ti­va, ya que los pro­ce­di­mien­tos de ac­tua­li­za­ción por sí solos no blo­quean los com­po­nen­tes vul­ne­ra­bles si no se ac­tua­li­zan las lis­tas de blo­queo co­rres­pon­dien­tes.