Un bootkit nato nel mercato del cybercrime è diventato un'arma di spionaggio contro la diplomazia del centro Asia. Parliamo di BlackX, un successore di BlackLotus rintracciato su computer di agenzie diplomatiche di Tagikistan, Uzbekistan e Turkmenistan su cui erano regolarmente installati tutti gli aggiornamenti di sicurezza.

La scoperta è del GReAT team di Kaspersky, che ha individuato il malware all'inizio del 2026 e ne ha pubblicato l'analisi il 22 ottobre, attribuendo la campagna al threat actor APT41. BlackX è un bootkit UEFI, cioè un malware che si insedia nella catena di avvio del computer e prende il controllo prima che Windows e i prodotti di sicurezza vengano caricati. Questa posizione consente a chi lo installa di mantenere un accesso persistente e nascosto alla macchina.

Il ritorno di BlackLotus

Per capire BlackX bisogna partire dal suo antenato, il bootkit BlackLotus, di cui non si hanno notizie da marzo 2023. All'inizio del 2026 i ricercatori di Kaspersky si sono imbattuti in un campione molto simile, usato in una campagna APT. La catena di exploit di BlackX ricalca da vicino quella del predecessore, tanto da far pensare ai ricercatori che gli autori di BlackX abbiano ricostruito il codice sorgente di BlackLotus tramite reverse engineering oppure averlo acquistato. Kaspersky sottolinea che si tratta di un caso insolito, perché raramente i gruppi APT prendono in prestito idee o codice dai cyber criminali, che agiscono a scopo di lucro. Sta di fatto che adattando uno strumento crimeware commerciale, il gruppo è riuscito ad aggirare le procedure progettate per proteggere i processi di avvio di Windows.

La ricerca non descrive il modo in cui gli attaccanti sono entrati nelle reti delle vittime, dato che il bootkit entra in scena in una fase successiva, quando gli attaccanti hanno già compromesso l'infrastruttura interna e ottenuto privilegi di amministratore sui computer Windows. A quel punto depositano sul sistema due elementi: un programma di installazione privo di stringhe o contenuti che possano tradirne la natura malevola e un file cifrato con l'algoritmo RC4 che contiene tutto il necessario per l'installazione. Avviato con il nome del file cifrato e la chiave di decifratura come parametri, l'installer decifra il pacchetto e colloca i componenti del bootkit sia nella partizione di sistema sia nella partizione UEFI. La separazione del codice malevolo dall'installer serve a ostacolare il lavoro di chi indaga sull'incidente.

Al riavvio entra in gioco l'exploit per Baton Drop, modellato su quello di BlackLotus. Il suo obiettivo è installare delle Machine Owner Key (MOK) personalizzate, che il sistema tratta come affidabili e che permettono di caricare file EFI arbitrari, svuotando di fatto la protezione di Secure Boot. Il payload UEFI che ne deriva inietta poi un driver malevolo nel kernel di Windows.

Il driver è firmato con un certificato rilasciato a uno studio di servizi informatici con sede nel distretto cinese di Wenjiang, ed è già revocato dall'ente emittente. Per ostacolare le difese, gli attaccanti disattivano le chiamate con cui i prodotti di sicurezza vengono avvisati della creazione di processi e thread o delle modifiche al registro, e manomettono i provider ETW in modo che quei prodotti non possano più leggere la telemetria del sistema. Il driver protegge anche i file del bootkit, per fare in modo che quando una qualsiasi richiesta del sistema prova ad aprirli, la intercetta e restituisce al suo posto un riferimento alla Calcolatrice di Windows. È un trucco per fare che un eventuale analista si trovi davanti a un programma innocuo.

Lo spionaggio via cloud

Completata la fase di ghosting, il driver distribuisce due payload in modalità utente pensati per il cyberspionaggio, che i ricercatori hanno osservato in uso reale. Il primo è un RAT che usa servizi di cloud storage legittimi come canale di comando e controllo. Kaspersky lo ha visto operare con Google Drive, OneDrive e Yandex Disk. Il RAT controlla periodicamente i file depositati dagli attaccanti nello spazio cloud e ne interpreta il nome come un ordine, che può consistere nel caricare ed eseguire un modulo, nel prelevare un file dal computer infetto, nello scaricarne uno nuovo o nel trasmettere le informazioni iniziali sul sistema. I risultati tornano agli attaccanti con lo stesso meccanismo, confondendosi con il normale traffico verso servizi di uso comune. Le capability del RAT possono essere estese a piacere sfruttando la possibilità di caricare ulteriori moduli .NET.

Il secondo payload, che Kaspersky ha battezzato OxiDLLRunner, è una libreria DLL offuscata con OLLVM per ostacolarne l’analisi del codice. Viene caricata tramite DLL sideloading da un eseguibile legittimo, che il bootkit stesso installa camuffandolo da componente di aggiornamento di Google. La DLL decifra un file presente nella stessa cartella, che contiene uno shellcode seguito da un programma scritto nel linguaggio Rust. Quest'ultimo si collega a un server di comando e controllo, riceve plugin sotto forma di librerie e avvia ciascuno di essi in un thread separato.

L'attribuzione ad APT41 ruota attorno a tre elementi. Il più rilevante arriva da una ricerca pubblicata da ESET a giugno 2026 sul gruppo FishMonger, che la comunità della sicurezza collega ad APT41. ESET aveva descritto un impianto nei cui percorsi di sviluppo compariva un preciso nome utente e aveva ipotizzato l'esistenza di un componente bootkit UEFI, forse in grado di sfruttare la vulnerabilità CVE-2023-24932. Kaspersky ha ritrovato lo stesso identificativo più volte nei payload di BlackX e ritiene che si tratti proprio del bootkit a cui ESET faceva riferimento. Gli altri due indizi sono di natura tecnica e riguardano l'uso del DLL sideloading abbinato a un file cifrato e l'offuscamento tramite OLLVM, entrambi ricorrenti tra i threat actor di lingua cinese.

Non basta installare una patch

I ricercatori hanno appurato che per chiudere la falla bisogna revocare il certificato Windows Production PCA 2011, usato per firmare i componenti di avvio vulnerabili. Tuttavia, l'aggiornamento esegue la revoca solo se un amministratore la attiva a mano, impostando un apposito valore nel registro di sistema e creando un'attività pianificata, secondo la procedura indicata da Microsoft.

La scelta di Microsoft è intenzionale, perché una revoca automatica potrebbe impedire l'avvio dei sistemi dual boot che dipendono da quel certificato. Il piano di Microsoft prevede una Enforcement Phase in cui la revoca diventerà automatica, ma al momento della pubblicazione della ricerca questa fase non era ancora stata attuata. Il 19 ottobre 2026 il certificato è scaduto, eppure la scadenza da sola non impedisce il caricamento dei file di avvio vulnerabili finché il certificato non viene inserito nella lista di quelli bloccati. Secondo i ricercatori, gli attaccanti hanno verosimilmente scommesso proprio sul fatto che pochissime organizzazioni avessero completato la revoca manuale, ed è per questo che riprendere BlackLotus valeva lo sforzo.