LONDON (IT BOLTWISE) – Ein neues UEFI-Bootkit namens BlackX soll Secure Boot auf gepatchten Windows-Systemen umgehen, wenn Organisationen die notwendigen DBX-Revokationen nicht manuell aktiviert haben. Laut einem technischen Bericht zielt das Schadprogramm darauf ab, Windows-Startschutz und auch Drittanbieter-Sicherheitssoftware auszuschalten, während es langfristigen, verdeckten Zugriff auf betroffene Geräte erhält. Besonders kritisch ist, dass die Angreifer die als Baton Drop bekannte Secure-Boot-Bypass-Schwachstelle auch nach dem Patch weiter ausnutzen können. Für IT-Teams bedeutet das: Neben Updates müssen die Secure-Boot-Revocation-Schritte und die DBX-Listenpflege operativ umgesetzt werden.
In frühen 2026-Jahrgängen soll eine gezielte Kampagne diplomatische Einrichtungen in Tadschikistan, Usbekistan und Turkmenistan getroffen haben. Kaspersky ordnet die Aktivität mutmaßlich einer China-nahen, staatlich geförderten Angreifergruppe zu, die unter dem Namen APT41 bekannt ist, und beschreibt das neue UEFI-Bootkit BlackX als zentralen Bestandteil des Vorgehens. Der Ansatz ist dabei weniger „einfacher Malware-Einstieg“ als vielmehr eine langfristige Persistenz- und Defense-Evasion-Strategie: Das Schadprogramm setzt bereits erlangte privilegierte Zugriffe oder physischen Zugriff voraus, um vor dem Start des Betriebssystems Code in den Bootprozess einzuschleusen. Genau diese Vorbedingung ist auch der Grund, warum die „neueste Windows-Version“ allein nicht ausreicht, wenn der Bootpfad selbst nicht vollständig abgesichert ist.
Technisch knüpft BlackX an den bekannten Bootkit-Mechanismen von BlackLotus an, dessen Existenz Ende 2022 zunächst in Cybercrime-Foren diskutiert und im März 2023 durch ESET öffentlich bestätigt worden sein soll. Der Kern der Wirkung hängt an der Secure-Boot-Umgehung über die Schwachstelle CVE-2022-21894 (Baton Drop), die laut Beschreibung eine Logik im Bootpfad ausnutzt, um bösartigen Code vor dem Betriebssystemstart zu laden. Entscheidender Unterschied zu vielen „klassischen“ Patch-Storys: Die Sicherung besteht nicht nur aus einem OS-Update, sondern erfordert zusätzliche manuelle Schritte zur Aktivierung der Secure-Boot-Revocation-Mitigations. Konkret geht es darum, die „Windows Production PCA 2011“-Zertifikats-Revokation in der Secure-Boot-DBX (UEFI Forbidden List) zu blockieren, also in der UEFI-Datenbank explizit zu sperren.
Aus Sicht der operativen Abwehr ist die Lücke zwischen theoretischer Absicherung und gelebtem Betrieb der zentrale Punkt. Denn Angreifer sollen laut Analyse darauf setzen, dass viele Organisationen die manuellen DBX-Aktivierungen nicht durchgeführt haben – dadurch bleibt die Baton-Drop-Ausnutzung auch auf Systemen möglich, auf denen Windows bereits „gepatcht“ ist. Kaspersky verweist dabei auf ein Ablaufdatum: Am 19. Oktober 2026 sei das betreffende Zertifikat zwar abgelaufen, doch das verhindere das Laden verwundbarer Binärdateien nicht, solange diese nicht in der DBX blockiert sind. Diese Beobachtung erklärt auch, warum die Kampagne offenbar Zeit investiert haben soll, um zu verstehen, wie BlackLotus funktioniert, und daraus eine Kopie oder Weiterentwicklung zu bauen: Die Hürde ist nicht nur technischer Natur, sondern auch prozessual, weil sie von organisatorischen Lücken im Secure-Boot-Management lebt.
Beim Installationsablauf beschreibt der Bericht eine Abfolge, die stark auf UEFI-nahe Persistenz und kontrollierte Entschlüsselung ausgelegt ist. Nach dem Eindringen in das Zielnetzwerk und dem Erreichen von Administratorrechten platziert der Angreifer Dateien wie „inst.exe“ sowie einen weiteren Installer (PVMDIJGKAX2). Zusätzlich soll es eine verschlüsselte, erweiterungslose Datei geben, die Installationskomponenten und Strings enthält; gestartet wird der Installer dann über die Kommandozeile „C: \ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1“, wobei „Q46F6MDLI3RX2KV1“ als RC4-Schlüssel für die Entschlüsselung fungiert. Danach legt das Bootkit weitere Artefakte sowohl in System- als auch in UEFI-Partitionen ab, um die Baton-Drop-Mechanik „remarkably similar“ zur BlackLotus-Ausführung zu adressieren. Das Endziel ist erneut: Machine Owner Keys (MOK) zu installieren, um das Laden beliebiger EFI-Dateien zu ermöglichen und Secure Boot gezielt zu stören.
Für Unternehmen wird die Bedrohung zusätzlich dadurch greifbar, dass die UEFI-Komponente nicht bei der Umgehung des Startschutzes stehen bleibt. Die nachgelieferte UEFI-Payload soll einen bösartigen Treiber in den Windows-Kernel injizieren, signiert mit einem Zertifikat, das einer Firma zugeordnet ist, nämlich „Wenjiang District Mingyu Network Technology Service Studio“. Laut Analyse ist dieses Zertifikat inzwischen durch den Aussteller widerrufen; trotzdem ist das Muster als „Bring Your Own Vulnerable Driver (BYOVD)“-ähnlicher Angriff relevant, weil der Treiber offenbar versucht, die Funktion von Endpoint-Sicherheitsprodukten zu manipulieren. Interessant ist dabei eine bedingte Ausführung: Bestimmte unautorisierten Modifikationen sollen nur dann laufen, wenn Sicherheitssoftware von Kaspersky oder Avast vorhanden ist; gleichzeitig bewertet Kaspersky diese Routinen als unwirksam. Parallel dazu wird auch eine User-Mode-Payload für Cyber-Spionage nachgeladen, darunter ein Remote-Access-Trojaner, der zusätzliche.NET-Komponenten ausliefern kann und Cloud-Dienste wie Google Drive, OneDrive und Yandex.Disk als Command-and-Control-Umgebung nutzt, um sich in üblichen Unternehmensworkflows zu tarnen.
Was die Einordnung über den reinen UEFI-Befund hinaus besonders wichtig macht, ist die Verbindung zu bereits dokumentierten APT-Strukturen. Kaspersky verweist auf ein ESET-Report in Juni 2026, in dem FishMonger über eine Windows-Backdoor namens SprySOCKS bei Angriffen gegen Regierungsorganisationen in Honduras, Taiwan, Thailand und Pakistan zwischen 2023 und 2024 beschrieben worden sei; FishMonger gilt in der Einschätzung als Teil des APT41-Umfelds. ESET soll zudem „limited indications“ gefunden haben, dass einzelne SprySOCKS-Varianten UEFI-Components tragen könnten, die vermutlich eine weitere Secure-Boot-Umgehung über CVE-2023-12432 ausnutzen. Auffällig ist außerdem eine Überlappung über eine „xdd“-Signatur sowie die typische chinesisch geprägte Technik des DLL-Sideloadings, mit der BlackX Nutzlasten nachlädt. Für Defender heißt das: Neben dem OS-Update muss das Secure-Boot-Revocation-Handling in der UEFI-Konfiguration auditierbar und wiederholbar werden, inklusive DBX-Pflege und der praktischen Überprüfung, dass die vorgesehenen Sperrmaßnahmen tatsächlich wirksam sind.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BlackX-UEFI-Bootkit: Secure-Boot-Bypass trotz Windows-Patches durch fehlende DBX-Revokationen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BlackX-UEFI-Bootkit: Secure-Boot-Bypass trotz Windows-Patches durch fehlende DBX-Revokationen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BlackX-UEFI-Bootkit: Secure-Boot-Bypass trotz Windows-Patches durch fehlende DBX-Revokationen« bei Google Deutschland suchen, bei Bing oder Google News!