พบ BlackX UEFI Bootkit ใช้ช่องโหว่ Baton Drop ข้าม Secure Boot บน Windows - Thailand Computer Emergency Response Team (ThaiCERT)泰国计算机应急响应小组 (ThaiCERT) 发现 BlackX UEFI Bootkit 利用 Baton Drop 漏洞绕过 Windows 安全启动。
582/69 (IT) ประจำวันจันทร์ที่ 26 ตุลาคม 2569 นักวิจัยจา
582/69 (IT) ประจำวันจันทร์ที่ 26 ตุลาคม 2569
นักวิจัยจาก Kaspersky เปิดเผยการตรวจพบ BlackX ซึ่งเป็น UEFI Bootkit ที่ถูกใช้ในการโจมตีจริงตั้งแต่ช่วงต้นปี 2569 โดยผู้โจมตีต้องเข้าถึงระบบและมีสิทธิ์ Administrator ก่อน จากนั้นใช้ช่องโหว่ Baton Drop (CVE-2022-21894) เพื่อข้าม Secure Boot และโหลดไฟล์ EFI ที่ผู้โจมตีควบคุม ทำให้มัลแวร์สามารถทำงานได้ตั้งแต่ก่อน Windows เริ่มทำงาน ทั้งนี้ เครื่องที่ได้รับผลกระทบบางส่วนติดตั้งอัปเดต Windows แล้ว แต่ยังไม่ได้ดำเนินการ Secure Boot revocation ที่เกี่ยวข้องอย่างครบถ้วน
หลังได้รับสิทธิ์ Administrator ผู้โจมตีจะติดตั้งส่วนประกอบของ BlackX ลงใน System และ UEFI Partition และเพิ่ม Machine Owner Key (MOK) ที่ผู้โจมตีควบคุม เพื่อช่วยโหลดไฟล์ EFI อันตราย จากนั้นมัลแวร์จะเรียกใช้ Kernel Driver เพื่อรบกวนการทำงานของระบบรักษาความปลอดภัยและลดการตรวจสอบผ่าน Event Tracing for Windows (ETW) นอกจากนี้ ยังพบ Payload สำหรับจารกรรมข้อมูล เช่น RAT ที่ใช้ Google Drive, OneDrive หรือ Yandex.Disk เป็นช่องทาง Command-and-Control (C2) และ OxiDLLRunner สำหรับโหลดส่วนประกอบเพิ่มเติม
ผู้ดูแลระบบควรอัปเดต Windows ให้เป็นปัจจุบัน และตรวจสอบว่าได้ดำเนินการ Secure Boot revocation ตามแนวทางของ Microsoft อย่างครบถ้วน รวมถึงตรวจสอบสถานะ Secure Boot DBX และการอัปเดตใบรับรอง Secure Boot ที่เกี่ยวข้อง นอกจากนี้ ควรตรวจสอบความผิดปกติใน System และ UEFI Partition พร้อมนำ Indicators of Compromise (IoCs) ที่ Kaspersky เผยแพร่มาใช้ประกอบการตรวจสอบ เนื่องจากการติดตั้งอัปเดต Windows เพียงอย่างเดียวอาจยังไม่เพียงพอสำหรับป้องกันการโจมตีลักษณะนี้
แหล่งข่าว : https://www.bleepingcomputer.com/news/security/blackx-uefi-bootkit-exploits-baton-drop-flaw-to-bypass-secure-boot/
582/69（IT）2026 年 10 月 26 日，星期一。
卡巴斯基研究人员披露，他们检测到了 BlackX，这是一种 UEFI 启动工具包，自 2026 年初以来已被用于实际攻击。攻击者需要管理员权限才能访问系统，然后利用 Baton Drop 漏洞 (CVE-2022-21894) 绕过安全启动并加载受控 EFI 文件，从而使恶意软件能够在 Windows 启动前执行。部分受影响的计算机已安装 Windows 更新，但尚未完全实施相关的安全启动撤销。
攻击者获取管理员权限后，会将 BlackX 组件安装到系统分区和 UEFI 分区，并添加受控机器所有者密钥 (MOK) 以帮助加载恶意 EFI 文件。随后，该恶意软件会执行内核驱动程序，破坏系统安全并绕过 Windows 事件跟踪 (ETW)。此外，还发现了间谍有效载荷，例如使用 Google Drive、OneDrive 或 Yandex.Disk 作为命令与控制 (C2) 网关的远程访问木马 (RAT)，以及用于加载其他组件的 OxiDLLRunner。
系统管理员应保持 Windows 系统更新，并确保按照微软指南完整执行安全启动撤销操作。这包括检查安全启动数据库 (DBX) 状态以及任何相关的安全启动证书更新。此外，他们还应使用卡巴斯基入侵指标 (IoC) 检查系统分区和 UEFI 分区是否存在异常，因为仅仅安装 Windows 更新可能不足以抵御此类攻击。
来源：https://www.bleepingcomputer.com/news/security/blackx-uefi-bootkit-exploits-baton-drop-flaw-to-bypass-secure-boot/