Phân tích kỹ thuật BlackX: Kỹ thuật bootkit mới vượt qua Windows Secure Boot

• Mối đe dọa mới: Bootkit BlackX lợi dụng lỗ hổng CVE-2022-21894 để thao túng chuỗi tin cậy khởi động (startup trust chain).
• Cơ chế tấn công: Kẻ tấn công sử dụng các kỹ thuật tương tự BlackLotus để cài đặt driver độc hại vào nhân Windows, vô hiệu hóa các cơ chế bảo mật.
• Lỗ hổng bảo mật: Hệ thống dù đã được vá lỗi vẫn có nguy cơ nếu các bước thu hồi chứng chỉ (certificate revocation) không được thực thi đầy đủ.
• Đối tượng nhắm tới: Các cơ quan ngoại giao tại Tajikistan, Uzbekistan và Turkmenistan với mục tiêu gián điệp mạng.

Tổng quan về chiến dịch tấn công BlackX

Các nhà nghiên cứu bảo mật vừa công bố báo cáo chi tiết về một loại bootkit mới có tên gọi BlackX. Loại mã độc này được phát hiện trong các chiến dịch tấn công nhắm vào các cơ quan ngoại giao tại khu vực Trung Á vào đầu năm 2026. Mặc dù có sự khác biệt về triển khai và payload, cơ chế khai thác của BlackX cho thấy sự tương đồng đáng kể với bootkit khét tiếng BlackLotus.

Theo các chuyên gia, chiến dịch này có khả năng liên quan đến nhóm APT41 với mức độ tin cậy trung bình. Điểm đáng chú ý là các máy tính bị ảnh hưởng đã được cập nhật đầy đủ các bản vá bảo mật, tuy nhiên, các thành phần khởi động (boot components) dễ bị tổn thương vẫn được hệ thống tin tưởng do quy trình thu hồi chứng chỉ chưa được hoàn tất.

Phân tích cơ chế khai thác kỹ thuật

BlackX khai thác lỗ hổng CVE-2022-21894 (còn được gọi là Baton Drop) để can thiệp vào chuỗi tin cậy khởi động của Windows. Đây không phải là vector tấn công ban đầu mà là công cụ được sử dụng để duy trì sự hiện diện và mở rộng quyền kiểm soát sau khi kẻ tấn công đã chiếm được quyền quản trị (administrator privileges) trên hệ thống.

Quy trình cài đặt và né tránh

Quá trình cài đặt của BlackX được thiết kế tinh vi nhằm gây khó khăn cho công tác phân tích. Mã độc tách biệt file thực thi khỏi gói dữ liệu mã hóa chứa các thành phần cần thiết. Khi không có file đi kèm, việc khôi phục và phân tích payload trở nên vô cùng phức tạp đối với các đội ngũ phản ứng sự cố.

# Ví dụ về cấu trúc file cài đặt được ghi nhận trong báo cáo: C:\ProgramData\Intel\inst.exe

Sau khi giải mã, gói dữ liệu sẽ ghi các thành phần vào phân vùng hệ thống và UEFI, sau đó sử dụng CVE-2022-21894 để cài đặt các Machine Owner Keys (MOK) tùy chỉnh. Điều này cho phép các file EFI do kẻ tấn công kiểm soát được nạp vào hệ thống. Tiếp theo, bootkit sẽ tiêm một driver độc hại đã được ký số vào nhân Windows để vô hiệu hóa các callback bảo mật và can thiệp vào Event Tracing for Windows (ETW).

Payload gián điệp và lỗ hổng bảo mật trong Secure Boot

BlackX triển khai hai loại payload ở chế độ người dùng (user-mode). Thứ nhất là một Trojan truy cập từ xa (RAT) có khả năng nạp thêm mã .NET và trao đổi lệnh thông qua các nền tảng đám mây hợp pháp như Google Drive, OneDrive hoặc Yandex.Disk. Thứ hai là OxiDLLRunner, sử dụng kỹ thuật DLL sideloading để thực thi mã độc thông qua một file thực thi hợp lệ.

⚠️ Cảnh báo quan trọng: Việc cài đặt các bản cập nhật Windows không tự động kích hoạt quy trình thu hồi chứng chỉ cho các thành phần khởi động cũ. Quản trị viên hệ thống cần chủ động kiểm tra cơ sở dữ liệu chữ ký bị cấm (forbidden-signature databases) để đảm bảo an toàn.

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Để đối phó với các kỹ thuật như BlackX, các tổ chức cần thực hiện kiểm tra định kỳ đối với các thành phần UEFI Secure Boot. Việc chỉ dựa vào trạng thái cập nhật của hệ điều hành là không đủ. Các đội ngũ SOC nên tập trung vào việc giám sát các hành vi bất thường liên quan đến nạp driver và các kết nối mạng từ các tiến trình hệ thống bị nghi ngờ.

Tham khảo thêm thông tin chi tiết về các lỗ hổng UEFI tại CISA để cập nhật các hướng dẫn hardening hệ thống mới nhất. Việc lập kế hoạch tương thích cho các thay đổi thu hồi chứng chỉ là bắt buộc để tránh làm gián đoạn các cấu hình khởi động và phương tiện khôi phục hệ thống cũ.