BlackX UEFI開機套件利用舊版Baton Drop漏洞繞過Secure Boot,鎖定中亞外交機構

背景與影響

資安廠商Kaspersky發現一款名為BlackX的新型UEFI開機套件,於2026年初的間諜活動中被用來攻擊中亞多國的外交機構,研究人員以中等信心度將此活動歸因於中國國家級駭客組織APT41(又稱Brass Typhoon)。

BlackX的技術手法與2022年出現的BlackLotus開機套件高度相似,同樣利用CVE-2022-21894(Baton Drop)漏洞,讓攻擊者能夠登錄自訂的機器擁有者金鑰(MOK)並載入任意EFI檔案,藉此繞過Secure Boot防護,即使是完整修補的Windows系統也可能受害。

該套件會植入使用已被撤銷憑證簽署的惡意Windows核心驅動程式,停用安全相關程序與登錄回呼,並針對性干擾卡巴斯基與Avast的資安軟體偵測機制,同時透過攔截檔案開啟請求、改為啟動小算盤程式的方式保護自身檔案不被存取或刪除,後續還會部署透過雲端硬碟服務進行C2通訊的遠端存取木馬等間諜酬載。

Kaspersky指出,所有受害系統都已安裝完整的Windows更新,但攻擊仍然得逞,主因是管理員並未手動啟用額外的Secure Boot撤銷清單更新,顯示即使系統已修補,若未落實額外的安全設定仍可能遭到繞過攻擊。

解決方案

• 確認系統已手動啟用並更新Secure Boot的撤銷清單(DBX),而非僅依賴一般Windows更新
• 定期檢查UEFI韌體與開機載入程式的完整性,留意異常MOK登錄項目
• 部署端點偵測與回應(EDR)工具時,留意是否有進程遭到異常停用或ETW追蹤遭篡改的跡象
• 對關鍵單位電腦設備落實韌體層級的安全稽核,而非僅限作業系統層級防護
• 留意使用已撤銷憑證簽署的驅動程式載入行為,並建立黑名單封鎖機制
• 針對高風險單位(如外交、政府機構)加強供應鏈與第三方軟體來源的審查
• 定期檢視雲端儲存服務(如Google Drive、OneDrive)是否被用於異常的C2通訊流量