3 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations
Ein neues UEFI-Bootkit namens BlackX, vermutlich von der chinesischen Hackergruppe APT41, zielt auf diplomatische Organisationen in Zentralasien ab. Es umgeht Secure Boot auf Windows-Systemen, selbst wenn diese gepatcht sind, da viele Organisationen die notwendigen manuellen Schritte zur Zertifikatsperrung nicht durchgeführt haben. Betroffene sollten die Secure Boot Widerrufsmaßnahmen von Microsoft manuell anwenden, um die Schwachstelle vollständig zu schließen.
SecBoard-Einordnung
Das Bootkit ermöglicht es Angreifern, Secure Boot zu umgehen und bösartigen Code zu laden, selbst auf gepatchten Systemen, was zu dauerhaftem, verdecktem Zugriff und potenzieller Kompromittierung der Systemintegrität führt.
Realistisch schlimmster Fall: Vollständige Kompromittierung von Windows-Systemen mit persistentem, schwer erkennbarem Zugriff auf sensible Daten und Systeme, was zu Spionage oder Sabotage führen kann.
Empfehlung: Organisationen müssen nicht nur Systemupdates installieren, sondern auch manuell das Zertifikat "Windows Production PCA 2011" zur Secure Boot UEFI Sperrliste (DBX) hinzufügen.
Im erfassten Bestand
- ▸3. erfasste Meldung zu APT41 innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Diplomatische Organisationen in Zentralasien, insbesondere in Tadschikistan, Usbekistan und Turkmenistan, die Windows-Systeme mit Secure Boot verwenden, aber die manuellen Zertifikatsperrungen nicht angewendet haben.
Prüfen
3- ▸Überprüfen Sie, ob das Zertifikat "Windows Production PCA 2011" manuell zur Secure Boot UEFI Sperrliste (DBX) hinzugefügt wurde.
- ▸Stellen Sie sicher, dass alle relevanten Windows-Updates installiert sind, die sich auf Secure Boot und UEFI-Sicherheit beziehen.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Überprüfung der UEFI-Firmware-Integrität durch, um unbekannte oder bösartige Bootloader zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genauen Methoden, wie APT41 das Bootkit verbreitet, sind im Artikel nicht spezifiziert.
- ▸Es ist nicht spezifiziert, welche spezifischen Versionen von Windows betroffen sind, außer dass es sich um 'gepatchte Windows-Systeme' handelt.
- ▸Der genaue Zeitpunkt der Entdeckung oder des Beginns der Kampagne ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Möglich
Kundenfragen
- Haben wir Windows extern erreichbar?
- Können wir Persistence detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Ein neues UEFI-Bootkit namens BlackX... umgeht Secure Boot auf Windows-Systemen... ermöglicht es dem Bootkit, bösartigen Code zu laden.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
1
Fernsteuerung
0
Zielhandlung
0
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- The Hacker NewsKontextBlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations
- BleepingComputerKontextBlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.