Systeme umgehend patchen, um die "Baton Drop"-Schwachstelle (CVE-2022-21894) zu beheben.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Wird laut Meldung tatsaechlich ausgenutzt: "exploits" im Titel+12
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
- Spionagekampagne — Thema: espionage, state-sponsored | Ereignisbeleg: victim, victims+6
Woraus sich die Konfidenz ergibt
- Zwei unabhaengige Herausgeber berichten den Sachverhalt
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2022-21894
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot
Ein neues UEFI-Bootkit namens BlackX, das APT41 zugeschrieben wird, nutzt die "Baton Drop"-Schwachstelle (CVE-2022-21894) aus, um Secure Boot zu umgehen. Ziel sind diplomatische Einrichtungen in Zentralasien, insbesondere in Tadschikistan, Usbekistan und Turkmenistan. BlackX deaktiviert Sicherheitslösungen von Kaspersky und Avast und installiert Spionage-Payloads. Nutzer sollten Systeme umgehend patchen und auf verdächtige Aktivitäten achten.
SecBoard-Einordnung
Die Umgehung von Secure Boot durch ein UEFI-Bootkit stellt eine tiefgreifende Kompromittierung dar, die es Angreifern ermöglicht, die Kontrolle über den Boot-Prozess zu übernehmen. Dies führt zur Deaktivierung von Sicherheitslösungen und zur Installation persistenter Spionage-Payloads, was die Erkennung und Entfernung extrem erschwert.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständige und dauerhafte Kontrolle über kompromittierte Systeme erlangen, sensible Daten exfiltrieren und weitreichende Spionageoperationen durchführen, ohne von herkömmlichen Sicherheitslösungen erkannt zu werden.
Empfehlung: Systeme umgehend patchen, um die "Baton Drop"-Schwachstelle (CVE-2022-21894) zu beheben. Zusätzlich sollten Organisationen auf verdächtige Aktivitäten und Indikatoren einer Kompromittierung achten, insbesondere im Zusammenhang mit UEFI-Firmware.
Im erfassten Bestand
- ▸4. erfasste Meldung zu APT41 innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Diplomatische Einrichtungen in Zentralasien, insbesondere in Tadschikistan, Usbekistan und Turkmenistan, sind direkt betroffen. Organisationen, die anfällige UEFI-Systeme betreiben, könnten ebenfalls gefährdet sein.
Prüfen
3- ▸Überprüfen Sie, ob alle Systeme mit den neuesten UEFI-Firmware-Updates gepatcht sind, die CVE-2022-21894 beheben.
- ▸Implementieren Sie eine Überwachung der UEFI-Firmware auf unerwartete Änderungen oder unbekannte Treiber.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass Secure Boot korrekt konfiguriert und aktiviert ist und dass nur vertrauenswürdige Bootloader geladen werden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Spionage-Payloads installiert werden.
- ▸Die genauen Methoden zur Verbreitung des Bootkits sind nicht spezifiziert.
- ▸Es ist nicht spezifiziert, welche spezifischen Versionen von Kaspersky und Avast deaktiviert werden.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Windows extern erreichbar?
- Können wir Persistence detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(6)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„installiert Spionage-Payloads“
„nutzt die "Baton Drop"-Schwachstelle (CVE-2022-21894) aus“
„Ein neues UEFI-Bootkit namens BlackX“
„um Secure Boot zu umgehen“
„BlackX deaktiviert Sicherheitslösungen von Kaspersky und Avast“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
1
Fernsteuerung
0
Zielhandlung
0
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- The Hacker NewsKontextBlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations
- BleepingComputerKontextBlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.