Grupa APT41 przeprowadziła zaawansowaną kampanię szpiegowską wymierzoną w agencje dyplomatyczne w Tadżykistanie, Uzbekistanie i Turkmenistanie. Atak opiera się na nowym bootkicie UEFI o nazwie BlackX, który wykazuje uderzające podobieństwo do znanego wcześniej BlackLotusa. Napastnicy wykorzystują lukę Baton Drop (CVE-2022-21894), aby obejść mechanizm Secure Boot poprzez instalację własnych kluczy MOK.
Proces infekcji rozpoczyna się po przejęciu uprawnień administratora na zainfekowanej maszynie. Atakujący używają instalatora inst.exe oraz zaszyfrowanego pliku zawierającego komponenty malware. Po zainfekowaniu warstwy UEFI, bootkit wstrzykuje złośliwy sterownik do jądra systemu Windows. Sterownik ten ma na celu neutralizację oprogramowania zabezpieczającego poprzez manipulację callbackami procesów, wątków oraz rejestru, a także zakłócanie dostępu do danych przez mechanizm ETW.
Po uzyskaniu kontroli nad jądrem, BlackX wdraża dodatkowe ładunki w trybie użytkownika. Jednym z nich jest RAT komunikujący się z serwerami C2 za pośrednictwem popularnych usług chmurowych, takich jak Google Drive, OneDrive czy Yandex.Disk. Innym komponentem jest OxiDLLRunner, który wykorzystuje technikę DLL sideloading przy użyciu legalnego pliku googleupdate.exe, aby uruchomić złośliwy kod w języku Rust.
Analiza techniczna pozwala przypisać te działania grupie APT41. Wskazują na to powiązania z wcześniejszymi kampaniami, specyficzne wzorce użycia złośliwych plików oraz stosowanie zaawansowanych technik zaciemniania kodu, takich jak OLLVM, które są charakterystyczne dla chińskich grup cyberprzestępczych.
