BlackX aggira Windows aggiornato: il malware che supera Secure Boot
Installare tutti gli aggiornamenti di Windows non garantisce sempre che le protezioni del computer siano state attivate completamente. Lo dimostra BlackX, un malware scoperto da Kaspersky durante una campagna di cyberspionaggio contro organizzazioni diplomatiche dell’Asia centrale. Il programma malevolo appartiene alla categoria dei bootkit UEFI, capaci di intervenire nelle primissime fasi di avvio del PC, prima che Windows e molte difese informatiche siano pienamente operativi. Il caso è particolarmente delicato perché i dispositivi presi di mira risultavano aggiornati, ma una misura di protezione contro una vecchia vulnerabilità richiedeva ancora un’attivazione aggiuntiva.
BlackX non è una minaccia che si installa automaticamente su qualunque PC Windows. Negli attacchi esaminati, i criminali avevano già compromesso le reti delle vittime e ottenuto privilegi amministrativi. Solo successivamente hanno tentato di utilizzare il bootkit per mantenere l’accesso e ostacolare i controlli di sicurezza. La scoperta mette in evidenza un problema importante per aziende e amministratori: un aggiornamento installato non equivale necessariamente a una mitigazione completamente applicata.
Cos’è BlackX e perché è diverso da un normale virus
BlackX è un bootkit UEFI, cioè un malware progettato per manipolare il processo di avvio del computer. A differenza di molti programmi malevoli tradizionali, che vengono eseguiti quando il sistema operativo è già attivo, un bootkit può inserirsi in una fase precedente e interferire con i meccanismi di sicurezza.
La tecnologia UEFI gestisce le operazioni iniziali di accensione e prepara il caricamento di Windows. In questa fase interviene anche Secure Boot, che verifica le firme digitali dei componenti autorizzati ad avviarsi.
Se un aggressore riesce ad aggirare questo controllo, può tentare di caricare componenti non autorizzati, inclusi driver che operano con privilegi elevati. La persistenza e la capacità di nascondersi rendono questi malware particolarmente difficili da individuare con i soli controlli ordinari.
La vulnerabilità Baton Drop permette di aggirare Secure Boot
Il meccanismo sfruttato da BlackX ruota attorno a Baton Drop, identificata come CVE-2022-21894. La vulnerabilità è nota da anni ed era già stata utilizzata dal bootkit BlackLotus.
Microsoft ha distribuito aggiornamenti per correggere il problema, ma la protezione completa richiede anche la revoca della fiducia in determinati componenti di avvio precedentemente firmati. In particolare, entra in gioco il certificato Windows Production PCA 2011, utilizzato per firmare vecchi boot manager vulnerabili.
Nei sistemi analizzati, gli aggiornamenti erano stati installati, ma la revoca necessaria non era stata attivata. Gli aggressori hanno quindi potuto utilizzare componenti che il sistema continuava a considerare attendibili.
Questa distinzione spiega perché il malware sia riuscito a operare anche su computer apparentemente aggiornati: non ha necessariamente aggirato una protezione completamente applicata, ma ha sfruttato una fase incompleta della sua distribuzione.
Perché Microsoft non ha attivato automaticamente tutte le protezioni
La revoca di vecchi certificati e componenti di avvio è un’operazione delicata. Alcuni computer utilizzano configurazioni particolari, sistemi dual boot o software che dipendono da elementi precedentemente autorizzati.
Applicare la revoca senza verificare la compatibilità può causare problemi di avvio su determinati dispositivi. Per questo Microsoft ha adottato una procedura graduale, prevedendo passaggi aggiuntivi per completare alcune mitigazioni.
Il risultato è però un compromesso difficile: da una parte si cerca di evitare che un aggiornamento renda inutilizzabile il computer, dall’altra alcuni sistemi possono rimanere esposti anche dopo l’installazione delle patch.
La vicenda evidenzia quanto sia importante comunicare chiaramente agli amministratori quali interventi sono automatici e quali richiedono una verifica manuale. Non è consigliabile modificare autonomamente i certificati di Secure Boot o il registro di sistema seguendo istruzioni generiche: una configurazione errata può impedire l’avvio di Windows.
Gli attacchi hanno preso di mira ambasciate e organizzazioni diplomatiche
Kaspersky ha individuato BlackX all’inizio del 2026 durante attacchi contro organizzazioni diplomatiche in Tagikistan, Uzbekistan e Turkmenistan. Gli aggressori avevano già ottenuto accesso alle reti e diritti amministrativi prima di installare i componenti del bootkit.
Per ridurre le possibilità di rilevamento, il malware veniva distribuito tramite file cifrati e programmi di installazione personalizzati. Una volta attivo, tentava di interferire con i sistemi di sicurezza e di rendere più difficile l’analisi dell’attacco.
I ricercatori hanno collegato l’operazione al gruppo APT41, associato da diverse analisi di intelligence a operazioni di origine cinese. L’attribuzione è però stata formulata con un livello di fiducia moderato, quindi non deve essere presentata come una certezza assoluta.
Leggi anche:
BlackX può ostacolare gli antivirus e nascondere altri programmi spia
Dopo aver superato il controllo di avvio, BlackX tenta di caricare un driver malevolo nel kernel di Windows. Questo componente è progettato per interferire con alcuni meccanismi utilizzati dalle soluzioni di sicurezza per osservare processi, modifiche al registro ed eventi di sistema.
Il malware contiene inoltre procedure rivolte in particolare ad alcuni prodotti di sicurezza. Tuttavia, Kaspersky ha dichiarato di aver bloccato il tentativo di disattivare le proprie protezioni negli attacchi analizzati.
È quindi scorretto sostenere che BlackX riesca sempre a spegnere qualsiasi antivirus. Le capacità osservate dipendono dalla configurazione della macchina e dai sistemi difensivi presenti.
Il bootkit può inoltre distribuire altri componenti malevoli, tra cui strumenti di accesso remoto e spionaggio. Alcuni di questi sfruttano servizi cloud legittimi come Google Drive, OneDrive e Yandex Disk per comunicare e trasferire informazioni.
Il legame con BlackLotus, il bootkit venduto nel dark web
BlackX presenta importanti somiglianze con BlackLotus, un bootkit pubblicizzato nei forum criminali già nel 2022 e successivamente analizzato dai ricercatori di sicurezza.
L’implementazione della vulnerabilità Baton Drop è particolarmente simile. I ricercatori hanno però identificato differenze nei driver e nei componenti utilizzati dopo l’infezione.
Una delle ipotesi è che gli sviluppatori di BlackX abbiano analizzato e ricostruito parti del codice di BlackLotus, oppure abbiano ottenuto una versione del suo codice sorgente. Non è stato dimostrato in modo definitivo quale delle due possibilità sia corretta.
Il caso dimostra che una tecnica nata nell’ambiente del cybercrimine può essere riutilizzata e adattata in operazioni di spionaggio più mirate, senza che gli aggressori debbano sviluppare ogni componente da zero.
Come verificare la sicurezza di Windows senza rischiare di bloccare il PC
La prima misura resta mantenere Windows, il firmware UEFI e le soluzioni di sicurezza aggiornati. Gli aggiornamenti non diventano inutili per il fatto che esistano vulnerabilità o mitigazioni da completare: rimangono una difesa fondamentale.
Se gestisci computer aziendali, verifica la documentazione ufficiale Microsoft relativa alle mitigazioni di Secure Boot e CVE-2022-21894. Le procedure di revoca devono essere pianificate e testate, soprattutto quando sono presenti BitLocker, configurazioni dual boot o sistemi di recupero personalizzati.
Per un computer personale, evita di applicare modifiche manuali al firmware o al registro senza aver verificato le indicazioni specifiche del produttore e di Microsoft. È importante anche conservare un backup dei dati e, quando pertinente, le chiavi di ripristino di BitLocker.
Le organizzazioni dovrebbero inoltre limitare l’uso di account amministrativi, monitorare l’integrità dei componenti di avvio e adottare strumenti capaci di individuare modifiche anomale al sistema.
Come capire se il computer è stato infettato da BlackX
Non esiste un singolo sintomo visibile che permetta a un utente di riconoscere con certezza BlackX. Un computer lento, una ventola rumorosa o un errore durante l’avvio non costituiscono prove di infezione.
La rilevazione di un bootkit UEFI può richiedere strumenti specializzati e l’analisi dell’integrità della catena di avvio. Se un’organizzazione sospetta una compromissione, dovrebbe coinvolgere il proprio team di sicurezza e preservare gli elementi utili alle indagini.
Per gli utenti domestici è utile controllare che Microsoft Defender o l’antivirus utilizzato siano attivi e aggiornati. In presenza di segnali concreti di infezione, si può valutare una scansione offline, che viene eseguita prima del normale caricamento di Windows.
Anche una scansione senza rilevamenti, però, non garantisce da sola l’assenza di qualsiasi bootkit. Nei casi più seri può essere necessaria un’analisi professionale.
BlackX è un pericolo immediato per tutti gli utenti Windows?
Gli episodi documentati riguardano operazioni mirate di cyberspionaggio contro organizzazioni diplomatiche, non una campagna indiscriminata contro tutti i computer domestici.
Gli aggressori hanno dovuto prima ottenere accesso privilegiato ai sistemi bersaglio. Questo rende la minaccia diversa dai comuni attacchi che tentano di infettare un computer attraverso un allegato o una pagina fraudolenta.
Il problema emerso rimane comunque rilevante: una protezione installata ma non pienamente attivata può lasciare aperta una strada agli attaccanti. Per questo aggiornamenti, configurazione corretta e controllo dei privilegi devono essere considerati parti dello stesso processo di sicurezza.
BlackX non dimostra che Windows sia impossibile da proteggere, ma ricorda che la sicurezza non si esaurisce premendo il pulsante per cercare aggiornamenti.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.