Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили новый буткит BlackX — сложное вредоносное ПО, которое начинает действовать ещё до загрузки операционной системы Windows. Его использовали в кибератаках на дипломатические учреждения в Центральной Азии. Предположительно атаки проводила китайская прогосударственная хакерская группировка APT41, — рассказали «Газете.Ru» в компании.
BlackX — сложное вредоносное ПО, разработанное для обхода механизмов защиты процесса загрузки Windows, а также сторонних защитных решений. Буткит позволяет атакующим действовать незаметно и длительное время сохранять доступ к устройствам жертв. Анализ показал, что BlackX представляет собой обновлённую и модернизированную версию буткита BlackLotus, который продавался в даркнете ещё в 2022 году.
Вредоносный код может обойти систему «Безопасная загрузка» (Secure Boot), которая гарантирует запуск только доверенного программного обеспечения. Злоумышленники применяют уязвимость Baton Drop, известную с 2022 года. Microsoft выпустила патч для этой проблемы, но для полной активации защиты системным администраторам нужно вручную настроить определенные параметры. Если эти настройки не будут выполнены, системы останутся уязвимыми, даже если обновление установлено.
BlackX позволяет злоумышленникам сохранять контроль над заражёнными устройствами даже после их проникновения во внутренние сети организаций и получения прав администратора на компьютерах с Windows. Для маскировки своих действий атакующие внедряли компоненты буткита через зашифрованные файлы и специальные программы-установщики, которые затрудняют обнаружение.
После успешного внедрения BlackX активирует компонент, предназначенный для отключения систем защиты. Однако защита «Лаборатории Касперского» для конечных устройств успешно пресекла эту попытку, и кибератака была предотвращена. Если бы злоумышленникам удалось отключить защиту, затем запустилось бы шпионское ПО, которое использовало бы легитимные облачные сервисы, такие как Google Drive и OneDrive, для кражи конфиденциальной информации и отслеживания действий пользователей.
Эксперты «Лаборатории Касперского» со средней степенью уверенности связывают данную кампанию с китайскоязычной APT-группой APT41, которая атакует организации из разных отраслей.
«Появление BlackX заслуживает особого внимания, поскольку APT-группы редко заимствуют код или концепты — в данном случае буткит BlackLotus — непосредственно у других злоумышленников. Взяв за основу коммерческий вредоносный инструмент, группе удалось обойти механизмы защиты процесса загрузки Windows. Такой гибридный подход показывает, что теперь для скрытого и устойчивого контроля над сетями организаций злоумышленникам необязательно разрабатывать принципиально новые инструменты и методы, даже если они технически хорошо подкованы», — комментирует Георгий Кучерин, старший эксперт Kaspersky GReAT.
Ранее «Лаборатория Касперского» раскрыла три главных темы вредоносных писем в кибератаках.