'Windowscomputers bij spionage-aanval geïnfecteerd met BlackX-bootkit'

In dit artikel:

Volledig bijgewerkte Windowscomputers van diplomatieke instanties in Tadzjikistan, Oezbekistan en Turkmenistan zijn besmet met de BlackX-bootkit. Dat meldt antivirusbedrijf Kaspersky. De malware geeft aanvallers vergaande controle en maakt cyberspionage mogelijk.

De aanvallers misbruikten de kwetsbaarheid Baton Drop (CVE-2022-21894) om UEFI Secure Boot te omzeilen en een kwaadaardige driver in de Windows-kernel te laden. Die driver installeert vervolgens een remote access trojan (RAT), waarmee aanvullende malware kan worden geplaatst. Voor de installatie hadden de aanvallers al beheerdersrechten op de systemen.

Kaspersky legt een verband met de China-gelieerde spionagegroep APT41. De techniek vertoont overeenkomsten met die van de eerder ontdekte BlackLotus-bootkit. Hoewel Microsoft al in 2023 een beveiligingsupdate tegen Baton Drop uitbracht, bleken de onderzochte systemen toch kwetsbaar. De update trekt een specifiek certificaat in, maar dat gebeurt niet automatisch: beheerders moeten de maatregel handmatig activeren. Volgens Kaspersky zijn de instructies daarvoor moeilijk vindbaar en is automatische uitrol door Microsoft nog niet uitgevoerd. De aanvallers zouden ervan hebben geprofiteerd dat weinig organisaties deze extra stap hebben gezet.