Il Global Research and Analysis Team (GReAT) di Kaspersky ha scoperto un nuovo e sofisticato bootkit, denominato BlackX, utilizzato negli attacchi che hanno sfruttato una vulnerabilità legata a un aggiornamento di sicurezza pubblicato da Microsoft. La ricerca, che illustra nel dettaglio come gli autori degli attacchi siano riusciti a installare un malware in grado di eseguirsi prima dell’avvio di Windows, è stata presentata al Security Analyst Summit 2026, svoltosi a Bali, in Indonesia. Gli esperti hanno attribuito la campagna al gruppo APT41 con un grado di certezza moderato, identificando BlackX come il successore modernizzato del famigerato bootkit BlackLotus.
All’inizio del 2026, le soluzioni di sicurezza di Kaspersky hanno sventato con successo un attacco APT ai danni di organizzazioni diplomatiche dell’Asia centrale. Le successive indagini condotte da Kaspersky GReAT hanno rivelato che gli autori dell’attacco avevano utilizzato BlackX, un malware complesso e furtivo, progettato specificamente per aggirare le difese di avvio del sistema operativo Windows e numerose soluzioni di sicurezza di terze parti, nonché per mantenere un accesso invisibile e prolungato ai dispositivi delle vittime.
La ricerca ha evidenziato che BlackX rappresenta una versione aggiornata e modernizzata di un implant denominato BlackLotus, commercializzato sul dark web nel 2022 da alcuni criminali informatici. Il malware è in grado di aggirare la funzione Secure Boot, progettata per garantire che, all’avvio di un PC, venga eseguito esclusivamente software affidabile. Per riuscirci, sfrutta una vulnerabilità già nota, denominata “Baton Drop”. Sebbene Microsoft abbia rilasciato una patch per correggere questa falla, l’aggiornamento richiede agli amministratori di sistema di completare manualmente alcuni passaggi di configurazione affinché la protezione venga attivata pienamente. Molte organizzazioni non hanno eseguito queste operazioni manuali e sono quindi rimaste vulnerabili. Di conseguenza, gli aggressori hanno potuto sfruttare la vulnerabilità Baton Drop anche sui sistemi sui quali la patch era già installata.
Gli autori dell’attacco hanno distribuito il bootkit BlackX come malware secondario ad alta persistenza, dopo aver già compromesso le reti interne e ottenuto privilegi amministrativi sui computer Windows delle vittime. Per nascondere le proprie attività agli addetti alla gestione degli incidenti, hanno installato i componenti del bootkit sui dispositivi compromessi ricorrendo a file crittografati e a programmi di installazione personalizzati, appositamente progettati per eludere il rilevamento.
Una volta sfruttata con successo la vulnerabilità, BlackX installa un componente progettato per disattivare il software di sicurezza. È importante sottolineare che la protezione degli endpoint di Kaspersky ha bloccato il tentativo del malware di disattivarla, facendo così fallire l’attacco. Se gli aggressori fossero riusciti a disabilitare le protezioni di sicurezza, il passo successivo sarebbe stato l’esecuzione di uno spyware che sfrutta servizi cloud legittimi, come Google Drive, OneDrive e Yandex Disk, per sottrarre informazioni riservate e monitorare le attività delle vittime.
“L’emergere di BlackX è degno di nota perché è raro che i gruppi APT riprendano direttamente codice o concetti dalla comunità clandestina del cybercrimine, come avvenuto in questo caso con BlackLotus. Adattando uno strumento crimeware commerciale, il gruppo è riuscito ad aggirare le procedure progettate per proteggere i processi di avvio di Windows. Questo approccio ibrido dimostra che gli avversari più sofisticati non hanno bisogno di reinventare la ruota per ottenere un controllo persistente e invisibile sulle reti di alto valore”, ha affermato Georgy Kucherin, Security Expert del Kaspersky GReAT.
Il report completo è disponibile su Securelist.
Per difendersi da questa e da minacce simili, le organizzazioni devono assicurarsi che i propri reparti IT eseguano manualmente le procedure raccomandate da Microsoft per correggere la vulnerabilità Baton Drop e altre falle analoghe. È inoltre opportuno limitare i privilegi amministrativi e implementare soluzioni di sicurezza in grado di monitorare l’integrità del firmware. Il componente Exploit Prevention di Kaspersky, integrato nelle soluzioni per endpoint, impedisce l’esecuzione degli exploit anche quando la patch non è stata applicata o quando si tratta di una vulnerabilità zero-day, per la quale non è ancora disponibile una correzione.
