«Лаборатория Касперского» 22 октября раскрыла атаки с буткитом BlackX на дипломатические организации Таджикистана, Узбекистана и Туркменистана. Исследователи обнаружили кампанию в начале 2026 года. По их данным, заражённые компьютеры получили обновления Windows, но необходимый для защиты отзыв доверия к старым загрузчикам на них не был включён.

Буткит закрепляется в процессе запуска компьютера, раньше обычных приложений. BlackX использовал известную уязвимость Baton Drop в загрузочных компонентах, чтобы обойти Secure Boot — проверку доверенности кода при старте системы. Установка нового загрузчика сама по себе не запрещает запустить старый, уязвимый экземпляр с действительной для системы подписью. Для этого нужно отдельно внести прежний сертификат Windows Production PCA 2011 в список недоверенных.

Документация Microsoft прямо указывает: меры против обхода Secure Boot входят в обновления, но по умолчанию не активированы. Отзыв доверия требует подготовки — прежние установочные и восстановительные носители могут перестать загружаться, возможны проблемы с прошивками и конфигурацией устройств. Поэтому компания предлагает сначала испытать изменения и обновить носители, а затем включать ограничения. Дата обязательного применения в действующем плане пока не назначена.

В наблюдавшихся атаках злоумышленники сначала проникали в сеть и получали права администратора, а уже затем устанавливали BlackX. Буткит внедрял драйвер в ядро Windows и доставлял средства шпионажа; один из компонентов обменивался командами через Google Drive, OneDrive или Яндекс Диск. Связь кампании с APT41 исследователи оценивают со средней уверенностью. Число заражённых компьютеров и объём похищенных данных в отчёте не раскрыты.

Здесь важна разница между полученным обновлением и включённой защитой: проверка только списка установленных патчей этот пробел не выявляет. При этом Microsoft отдельно подчёркивает, что описанные меры предотвращают закрепление через уязвимый загрузчик, а не очищают уже скомпрометированную систему.