BlackX: Bootkit UEFI mới qua mặt Secure Boot trên các hệ thống Windows đã vá lỗi

Một loại bootkit UEFI (Unified Extensible Firmware Interface) mới có tên gọi BlackX đang trở thành mối đe dọa nghiêm trọng đối với các tổ chức ngoại giao tại khu vực Trung Á, đặc biệt là tại Tajikistan, Uzbekistan và Turkmenistan. Theo báo cáo kỹ thuật từ Kaspersky, chiến dịch này được cho là có liên quan đến nhóm tin tặc APT41.

Cơ chế hoạt động của BlackX

BlackX được đánh giá là phiên bản kế nhiệm của BlackLotus – một bootkit khét tiếng từng gây chấn động vào năm 2023. Mục tiêu cốt lõi của mã độc này là vô hiệu hóa các lớp phòng thủ khởi động của Windows và các giải pháp bảo mật của bên thứ ba, từ đó duy trì quyền truy cập ẩn danh lâu dài vào thiết bị bị xâm nhập.

Mặc dù BlackLotus khai thác lỗ hổng CVE-2022-21894 (còn gọi là Baton Drop) để thực thi mã độc trước khi hệ điều hành khởi động, nhưng việc khai thác thành công đòi hỏi kẻ tấn công phải có quyền quản trị hoặc quyền truy cập vật lý vào máy chủ. Điểm đáng chú ý là BlackX vẫn có thể hoạt động ngay cả trên các hệ thống đã được cài đặt bản vá, do nhiều tổ chức đã bỏ qua các bước cấu hình thủ công cần thiết.

Lỗ hổng từ việc thiếu sót trong cấu hình

Các chuyên gia bảo mật nhấn mạnh rằng chỉ cài đặt bản cập nhật Windows là chưa đủ. Để ngăn chặn hoàn toàn lỗ hổng này, quản trị viên cần thực hiện thủ công việc cập nhật danh sách Secure Boot Forbidden List (DBX), bao gồm việc thêm chứng chỉ “Windows Production PCA 2011” vào danh sách bị cấm. Kẻ tấn công đã tận dụng việc nhiều tổ chức không thực hiện bước này để tiếp tục khai thác lỗ hổng Baton Drop.

Kỹ thuật tấn công tinh vi

Quy trình lây nhiễm của BlackX bao gồm:

• Triển khai: Kẻ tấn công sử dụng một trình cài đặt (inst.exe) cùng với tệp tin mã hóa RC4 để giải mã và cài đặt các thành phần cần thiết vào phân vùng hệ thống và UEFI.
• Vượt qua Secure Boot: Mã độc cài đặt các Machine Owner Keys (MOK) để cho phép tải các tệp EFI tùy ý, từ đó can thiệp vào quy trình khởi động an toàn.
• Tấn công Kernel: Sau khi khởi động, bootkit tiêm một driver độc hại vào kernel Windows. Driver này được ký bằng một chứng chỉ đã bị thu hồi, nhằm mục đích vô hiệu hóa các phần mềm bảo mật (EDR/Antivirus) trên máy nạn nhân.
• Gián điệp mạng: BlackX triển khai các payload ở chế độ người dùng (user-mode), bao gồm các Remote Access Trojan (RAT) sử dụng các dịch vụ lưu trữ đám mây như Google Drive, OneDrive để làm kênh điều khiển (C2), giúp hành vi của chúng hòa trộn với lưu lượng truy cập doanh nghiệp thông thường.

Mối liên hệ với APT41

Sự hiện diện của chuỗi ký tự “xdd” trong BlackX và các kỹ thuật sideloading DLL đặc trưng cho thấy mối liên hệ chặt chẽ với các nhóm tin tặc có nguồn gốc từ Trung Quốc, đặc biệt là nhóm FishMonger (thuộc hệ sinh thái APT41). Việc một nhóm APT sử dụng lại ý tưởng từ mã độc tội phạm mạng như BlackLotus là một dấu hiệu cho thấy sự thay đổi trong chiến thuật của các nhóm tấn công có tổ chức.

Các chuyên gia khuyến cáo các tổ chức cần kiểm tra kỹ lưỡng cấu hình Secure Boot và đảm bảo danh sách DBX được cập nhật đầy đủ để phòng tránh các cuộc tấn công dựa trên bootkit tương tự.

Nguồn tham khảo: The Hacker News