BlackX, cosa fanno i ricercatori e quale è il problema
I ricercatori del team GReAT di Kaspersky hanno pubblicato il 22 ottobre 2026 un rapporto su BlackX, un bootkit UEFI in uso in attività di cyber‑spionaggio mirate contro organizzazioni diplomatiche in Tagikistan, Uzbekistan e Turkmenistan. Secondo l'analisi, BlackX è capace di compromettere macchine Windows anche quando risultano aggiornate, perché sfrutta una debolezza nella procedura di revoca dei certificati usati da Secure Boot.
Meccaniche dell’attacco e componenti del malware
BlackX recupera tecniche già osservate in campagne come quella di BlackLotus e introduce nuove funzionalità progettate per eludere le difese moderne. La catena d'infezione include l'uso di Baton Drop e la CVE‑2022‑21894 per aggirare i meccanismi di controllo dell'avvio sicuro; il bootkit poi installa un driver a livello kernel che cerca di neutralizzare soluzioni antivirus ed eventi di sicurezza, assicurando persistenza e possibilità di esecuzione di ulteriori payload.
- Target: organizzazioni diplomatiche in Asia centrale (Tagikistan, Uzbekistan, Turkmenistan).
- Tecniche: bootkit UEFI, Baton Drop, sfruttamento di CVE‑2022‑21894, driver kernel per elusione.
- Backdoor e comunicazione: payload che utilizza Google Drive, OneDrive, Yandex.Disk e infrastrutture C2 dedicate; presenza di componenti scritti in Rust.
- Attribuzione: Kaspersky attribuisce la campagna ad APT41 con confidenza media.
Perché gli aggiornamenti Windows non bastano
I ricercatori evidenziano che, nel caso di BlackX, l'installazione delle patch Windows non garantisce automaticamente l'applicazione delle revoche di certificati necessarie per proteggere Secure Boot. In pratica, la procedura di revoca dei certificati (ad esempio quelli riconducibili alla cosiddetta Windows Production PCA 2011) può non essere applicata in modo completo insieme agli aggiornamenti, lasciando una finestra di attacco che i bootkit possono sfruttare.
Impatto operativo e osservazioni
Il bootkit non si limita a compromettere l'avvio: dopo l'infezione BlackX installa un driver kernel che interferisce con i meccanismi di rilevamento e distribuisce backdoor capaci di utilizzare servizi cloud pubblici come canale di comando e controllo. L'uso di piattaforme legittime di storage cloud per il trasporto dei payload complica il rilevamento e l'analisi forense.
| Elemento | Descrizione |
|---|---|
| Nome | BlackX (bootkit UEFI) |
| Vettori/tecniche | Baton Drop, CVE‑2022‑21894, driver kernel |
| Comunicazione | Google Drive, OneDrive, Yandex.Disk, C2 dedicati |
| Obiettivi | Organizzazioni diplomatiche in Tagikistan, Uzbekistan, Turkmenistan |
| Attribuzione | APT41 (confidenza media) |
Contesto e implicazioni
La scoperta di BlackX mette in luce un problema operativo rilevante per chi gestisce infrastrutture sensibili e amministratori di sistema: anche ambienti aggiornati possono risultare vulnerabili se le procedure di revoca dei certificati di avvio non sono applicate correttamente. L'uso di servizi cloud legittimi per i canali di comando aumenta la complessità delle indagini e rende più difficile distinguere traffico legittimo da attività malevole.
Il rapporto di Kaspersky GReAT del 22 ottobre 2026 documenta la campagna e fornisce dettagli tecnici utili per gli specialisti della sicurezza; resta fondamentale che le organizzazioni verifichino le proprie catene di avvio e i meccanismi di gestione dei certificati per limitare la superficie d'attacco esposta da bootkit come BlackX.
