パッチ適用済みWindowsでもSecure Bootを回避、中央アジア外交機関を狙う新型ブートキット「BlackX」が判明

要点

• 中央アジアの外交機関を標的とした攻撃で、Windowsの起動時保護を無力化する新型UEFIブートキット「BlackX」が確認された。

• 中国関連の国家支援ハッカー集団「APT41」の関与が疑われており、犯罪ツール「BlackLotus」の模倣・改良版と評価されている。

• 既知の脆弱性「CVE-2022-21894」を悪用しており、パッチ適用後も証明書の手動失効登録を行っていない端末では回避される。

• 管理者権限の奪取後に展開され、署名付きドライバをカーネルへ注入してセキュリティ製品の動作妨害を図る。

• 中央アジアの外交機関を標的としたサイバー攻撃において、Windowsの起動プロセスを侵害する高度な新型UEFIブートキット「BlackX」が確認された。サイバーセキュリティ企業カスペルスキー（Kaspersky）が公開した技術レポートによると、この攻撃は2026年初頭にタジキスタン、ウズベキスタン、トルクメニスタンで観測され、中国との関連が指摘される国家支援型ハッカー集団「APT41」の関与が疑われている。BlackXの主な目的は、OS起動前の保護機構やサードパーティ製セキュリティ製品を無力化し、侵害端末への長期的かつ隠密なアクセスを維持することにあるという。

サイバー犯罪ツールのコードを国家支援型グループが模倣か

カスペルスキーの分析によると、BlackXは悪名高いブートキット「BlackLotus」のアップデート版とみられている。ブートキットとは、PC起動時にOSより先に読み込まれるファームウェア領域を乗っ取るマルウェアを指す。BlackLotusは2022年後半にサイバー犯罪フォーラムで宣伝され、2023年3月にセキュリティ企業ESETが実在を確認したことで広く知られるようになった。

注目すべき点として、BlackLotusのソースコードは一般公開されていない事実が挙げられる。同社のリサーチャーは、攻撃者が元のBlackLotusをリバースエンジニアリングして仕組みを解明したか、他者からソースコードを購入して複製版を作り上げたと推測している。国家支援型の標的型攻撃グループ（APT）が、一般的なサイバー犯罪者のアイデアやコードを借用・模倣するのは極めて異例だという。

パッチ適用済みでも突破される「手動失効」の盲点

BlackXが悪用するのは、セキュアブート回避の脆弱性「CVE-2022-21894」（通称Baton Drop、CVSSスコア：4.4）だ。セキュアブートとは、信頼できる正規の署名があるソフトウェアのみを起動時に読み込ませる保護機能である。本脆弱性を突かれるとOS起動前に不正コードを実行されてしまうが、悪用には標的端末の管理者権限または物理アクセスが必要となる。マイクロソフトも過去に指摘した通り、これは侵入の足がかりではなく、侵入後の永続化や防御回避のための技術だ。

この脅威を完全に防ぐには、更新プログラムの適用だけでなく、手動でセキュアブート禁止リスト（DBX）に古い証明書を追加する失効手続きが求められる。具体的には、「Windows Production PCA 2011」証明書をDBXへ登録する必要がある。

カスペルスキーの研究者らによると、同証明書は2026年10月19日に有効期限切れを迎えたものの、DBXに登録して明示的にブロックしない限り脆弱なバイナリの読み込みは阻止できない。攻撃者は、多くの組織がこの手動手順を実施していない盲点を突き、パッチ適用済みの環境に対してもBaton Dropを悪用し続けているとされる。

侵入後の展開手順とカーネルドライバによる防御妨害

攻撃者はネットワーク侵入後に管理者権限を取得し、BlackXを配備する。実行ファイル「inst.exe」と、暗号化ファイル「PVMDIJGKAX2」を投下し、RC4鍵「Q46F6MDLI3RX2KV1」を指定してインストーラーをコマンドラインから起動する。復号されたバイナリはシステム領域とUEFIパーティションにファイルを配置し、BlackLotusと同様の手順で脆弱性を悪用する。最終目的は、任意のEFIファイルを読み込ませるための鍵（MOK：Machine Owner Key）を導入し、セキュアブートの制御を奪うことだ。

展開されるUEFIペイロードは、Windowsカーネルへ不正なドライバを注入する。ドライバには「Wenjiang District Mingyu Network Technology Service Studio」名義の電子署名が付与されていた（現在は失効済み）。脆弱な正規ドライバを持ち込むBYOVD攻撃のように、このドライバは端末内のエンドポイントセキュリティ製品の動作妨害を試みる。また、カスペルスキーやAvastの製品が存在する場合にのみ実行される改ざん処理も確認されたという。

補足

UEFI領域に感染するブートキットは、OSの再インストールを行ってもファームウェア層に残るため、検知と駆除が極めて困難とされる。