UEFI bootkit ใหม่ BlackX ใช้ Baton Drop ทะลุ Secure Boot บนเครื่องที่อัปเดตแล้ว — เล็งหน่วยงานการทูตเอเชียกลาง Kaspersky โยง APT41 ความเชื่อมั่นปานกลาง

สรุปสั้น

ทีม Securelist ของบริษัท Kaspersky รายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่าพบ UEFI bootkit ตัวใหม่ชื่อ BlackX ถูกใช้ในการโจมตีเพื่อจารกรรมหน่วยงานการทูตในทาจิกิสถาน อุซเบกิสถาน และเติร์กเมนิสถาน มัลแวร์เล็งทะลุ Secure Boot ฟีเจอร์ที่ออกแบบมาป้องกันไม่ให้ซอฟต์แวร์ไม่น่าเชื่อถือทำงานก่อน Windows เริ่มต้น โดยใช้ช่องโหว่ Baton Drop (CVE-2022-21894) และมีโครงสร้างบางส่วนร่วมกับ bootkit ชื่อดัง BlackLotus ประเด็นสำคัญคือเครื่องที่ติดเชื้อได้รับอัปเดต Windows แล้ว แต่การป้องกัน Secure Boot ที่สำคัญยังไม่ได้ถูกเปิดใช้งานครบ

การป้องกัน Baton Drop ต้องเพิกถอนความเชื่อถือใบรับรอง “Windows Production PCA 2011” ที่ใช้ลงนามคอมโพเนนต์ UEFI ที่มีช่องโหว่ ซึ่งเป็นขั้นตอนแยกจากการติดตั้งอัปเดต และการที่ใบรับรองหมดอายุเมื่อ 19 ตุลาคม 2569 ก็ไม่ได้หยุดไบนารีเหล่านั้นด้วยตัวเอง BlackX ถูกติดตั้งหลังผู้โจมตีได้สิทธิ์ผู้ดูแลในเครือข่ายแล้ว ไดรเวอร์ระดับ kernel ของมันพยายามปิดการมองเห็นของเครื่องมือความปลอดภัย และส่ง RAT ที่ใช้ Google Drive, OneDrive หรือ Yandex.Disk เป็นช่องทางสั่งการ Kaspersky โยงกิจกรรมนี้กับ APT41 ด้วยความเชื่อมั่นระดับปานกลาง ซึ่งยังไม่ใช่การระบุตัวที่แน่ชัด

รายละเอียดข่าว

เว็บไซต์ Cybersecurity News รายงานเมื่อวันที่ 23 ตุลาคม 2569 อ้างรายงานของ Securelist ว่า BlackX ถูกใช้ในปฏิบัติการจารกรรมไซเบอร์ต่อองค์กรด้านการทูตในเอเชียกลาง ข้อค้นพบนี้แสดงว่าการติดตั้งอัปเดตไม่ได้แปลว่าการป้องกันที่อัปเดตนั้นมุ่งหมายจะถูกเปิดใช้งานครบเสมอ Windows อาจรายงานว่าติดตั้งอัปเดตแล้ว ทั้งที่รายการลายเซ็นต้องห้ามในเฟิร์มแวร์ยังไม่ถูกอัปเดตตามที่ควร

แนวทางของ Microsoft สำหรับ CVE-2023-24932 อธิบายการปรับใช้การป้องกัน Secure Boot เป็นหลายขั้น ทั้งการอัปเดตใบรับรอง boot manager และรายการเพิกถอน UEFI และเตือนว่าการบล็อกคอมโพเนนต์บูตรุ่นเก่าอาจกระทบสื่อกู้คืนระบบและตัวเลือกการบูตอื่น ผู้ดูแลจึงต้องทดสอบและเตรียมทางกู้คืนก่อนปรับใช้วงกว้าง ความซับซ้อนนี้เองที่ทำให้หลายองค์กรติดตั้งอัปเดตแต่ยังไม่ได้ทำขั้นตอนเพิกถอน

Kaspersky โยงกิจกรรมนี้กับ APT41 กลุ่มที่เชื่อมโยงกับจีน ด้วยความเชื่อมั่นระดับปานกลาง จากความคล้ายกับกิจกรรมที่เคยรายงานไว้และรายละเอียดทางเทคนิคที่ใช้ร่วมกัน แต่ทั้ง Kaspersky และ Cybersecurity News ย้ำว่าการประเมินนี้ไม่ใช่การระบุตัวผู้โจมตีอย่างเด็ดขาด

วิธีการโจมตี

BlackX ถูกติดตั้งหลังผู้โจมตีเข้าถึงเครือข่ายและได้สิทธิ์ระดับผู้ดูแลแล้ว ตัวติดตั้ง inst.exe ทำงานคู่กับไฟล์เข้ารหัสชื่อ PVMDIJGKAX2 ที่บรรจุคอมโพเนนต์ที่จำเป็นต่อการติดตั้ง Securelist ระบุว่าการออกแบบนี้ทำให้ทีมตอบสนองเหตุกู้คืนชิ้นส่วนทั้งหมดของ bootkit จากตัวติดตั้งอย่างเดียวได้ยาก จากนั้น bootkit ใช้ Baton Drop โหลดไฟล์ EFI ที่ผู้โจมตีควบคุมและแทรกแซง Secure Boot ไฟล์ EFI ทำงานระหว่างการบูตก่อน Windows โหลด การฝังตัวในลำดับต้นนี้จึงให้โค้ดอันตรายทำงานก่อนเครื่องมือความปลอดภัยของระบบปฏิบัติการจำนวนมากจะเริ่ม

ไดรเวอร์ kernel ของแคมเปญพยายามทำให้เครื่องมือความปลอดภัยอ่อนแอลง ด้วยการรบกวน callback ของ process, thread และ registry และแทรกแซง Event Tracing for Windows (ETW) ที่ซอฟต์แวร์ใช้เก็บกิจกรรมของระบบ ไดรเวอร์ยังพยายามซ่อนไฟล์ของตัวเอง เมื่อมีการร้องขอไฟล์บางรายการ มันจะส่ง handle ของโปรเซส calc.exe ที่ถูกต้องกลับไปแทนไฟล์อันตรายที่ถูกร้องขอ

ส่วน payload ระดับผู้ใช้สำหรับจารกรรมมีสองตัว ตัวแรกเป็นโทรจันควบคุมระยะไกลที่โหลดโค้ด .NET เพิ่มเติมได้ และใช้ Google Drive, OneDrive หรือ Yandex.Disk เป็นช่องทางสั่งการ ตัวที่สองที่นักวิจัยตั้งชื่อว่า OxiDLLRunner ถอดรหัสไฟล์ v8_context_snapshot.bin แล้วรัน payload ภาษา Rust ที่ติดต่อโดเมนสั่งการ

ผลกระทบ

กรณี BlackX ชี้ช่องว่างที่หลายองค์กรมองไม่เห็น คือเครื่องที่แดชบอร์ดแสดงว่าอัปเดตครบแล้ว แต่เฟิร์มแวร์ยังเชื่อถือ boot manager รุ่นที่มีช่องโหว่อยู่ bootkit ที่ฝังในขั้นบูตอยู่รอดแม้ติดตั้ง Windows ใหม่ และทำงานก่อน EDR จึงตรวจจับและกำจัดได้ยากมาก เมื่อรวมกับไดรเวอร์ที่ปิด ETW และ callback ทำให้เครื่องที่ติดเชื้ออาจดูปกติในสายตาเครื่องมือเฝ้าระวัง

สำหรับหน่วยงานการทูตและหน่วยงานรัฐ ช่องทางสั่งการผ่านบริการคลาวด์ยอดนิยมทำให้ทราฟฟิกกลมกลืนกับการใช้งานปกติ และการที่ BlackX ถูกติดตั้งหลังได้สิทธิ์ผู้ดูแลแล้ว แสดงว่ามันเป็นเครื่องมือคงสิทธิ์ระยะยาวของผู้โจมตีที่เข้ามาในเครือข่ายได้แล้ว ไม่ใช่ช่องทางเจาะเริ่มต้น

คำแนะนำ

• ตรวจสถานะ Secure Boot และการเพิกถอนในเฟิร์มแวร์จริงของทุกเครื่อง ไม่ใช่ดูเพียงสถานะอัปเดตของ Windows โดยทำตามคำแนะนำ KB5025885 ของ Microsoft สำหรับ CVE-2023-24932 ให้ครบทุกขั้น ทั้งอัปเดตใบรับรอง boot manager และรายการเพิกถอน (DBX)
• ทดสอบผลกระทบต่อสื่อกู้คืนและตัวเลือกการบูตอื่นก่อนปรับใช้การเพิกถอนวงกว้าง และเตรียมสื่อกู้คืนรุ่นใหม่ที่ลงนามด้วยใบรับรองใหม่
• อย่าถือว่าการหมดอายุของใบรับรอง Windows Production PCA 2011 เมื่อ 19 ตุลาคม 2569 เป็นการป้องกัน ต้องบล็อกผ่านกลไกเพิกถอนเท่านั้น
• สอบสวนกิจกรรมผู้ดูแลที่น่าสงสัยและการเปลี่ยนแปลงที่เกี่ยวกับการบูต และตรวจการแจ้งเตือนของ endpoint ที่บ่งชี้ว่าการเฝ้าระวังถูกแทรกแซง เช่น ETW หยุดส่งข้อมูล
• เฝ้าระวังการเชื่อมต่อไป Google Drive, OneDrive และ Yandex.Disk จากเครื่องที่ไม่มีเหตุผลทางธุรกิจ โดยเฉพาะในหน่วยงานการทูตและหน่วยงานรัฐ
• เมื่อพบ bootkit ให้ล้างและติดตั้งระบบใหม่พร้อมตรวจพาร์ทิชัน EFI ไม่ใช่เพียงลบมัลแวร์ในระดับระบบปฏิบัติการ

Indicators of Compromise (IoCs)

ข้อมูลจาก Securelist (Kaspersky) · โดเมนถูก defang แล้ว ([.]) ต้องแปลงกลับก่อนใช้งาน

แหล่งอ้างอิง

• BlackX UEFI bootkit — Securelist (Kaspersky)
• KB5025885: Windows Boot Manager revocations for CVE-2023-24932 — Microsoft
• Hackers Use New BlackX Bootkit to Bypass Windows Secure Boot on Fully Patched Systems — Cybersecurity News