👀 Скучали по буткитам? Тогда знакомьтесь с BlackX

Злоумышленники, предположительно входящие в кластер APT41, значительно доработали ранее известный код буткита BlackLotus и применили его в атаках на дипломатические организации в Центральной Азии. Буткит BlackX используется для закрепления в ранее скомпрометированных системах и долгосрочного шпионажа за жертвами. Эксфильтрация данных ведётся на публично доступные облачные сервисы: Google Drive, OneDrive, Яндекс Диск.

Примечательно, что ВПО пытается отключать СЗИ на хостах, включая продукты «Лаборатории Касперского», но с защитой ЛК трюк не проходит.

Хотя уязвимость в процессах безопасной загрузки (CVE‑2023‑24932), эксплуатируемая этими буткитами, была устранена ещё в 2023 году, Microsoft не торопится целиком блокировать уязвимые загрузчики, поместив их в список DBX. В результате, даже установив обновления Windows, администраторы могли оставить систему уязвимой, если проигнорировали рекомендации Microsoft: обновить съёмные носители и диски восстановления, применить опциональные меры дополнительной защиты.
Поэтому буткитом можно успешно воспользоваться даже на многих Windows-системах, которые обновлялись недавно.

Подробностями исследования вчера поделились на международной конференции Security Analyst Summit 2026, а сегодня они публично доступны на Securelist.