اهداف عملیاتی BlackX و شباهت آن به بوت‌کیت BlackLotus
هدف اصلی از استقرار این بدافزار، تضعیف مکانیزم‌های حفاظتی ویندوز هنگام راه‌اندازی سیستم (Windows Startup Defenses) و مختل کردن عملکرد راهکارهای امنیتی شرکت‌های شخص ثالث است. این قابلیت به مهاجمان امکان می‌دهد دسترسی مخفیانه و پایدار خود را به دستگاه‌های آلوده حفظ کنند.
بر اساس ارزیابی پژوهشگران، BlackX نسخه‌ای به‌روزرسانی‌شده از بوت‌کیت BlackLotus است. این بوت‌کیت نخستین بار در اواخر سال 2022 برای فروش در انجمن‌های جرایم سایبری تبلیغ شد و ESET در مارس 2023 وجود آن را تأیید کرد.
BlackLotus از آسیب‌پذیری دور زدن بوت امن (Secure Boot Bypass) با شناسه CVE-2022-21894 و امتیاز 4.4 در مقیاس CVSS سوءاستفاده می‌کند. این آسیب‌پذیری که با نام Baton Drop نیز شناخته می‌شود، به مهاجم اجازه می‌دهد کد مخرب را پیش از راه‌اندازی سیستم‌عامل بارگذاری کند. البته، سوءاستفاده از این آسیب‌پذیری به دسترسی ادمین یا دسترسی فیزیکی مهاجم به دستگاه هدف نیاز دارد.
به گفته مایکروسافت، مهاجمان عمدتاً از این بوت‌کیت برای حفظ دسترسی پایدار (Persistence) به سیستم و دور زدن مکانیزم‌های دفاعی استفاده می‌کنند. این بوت‌کیت برای نفوذ اولیه به سیستم طراحی نشده است، بلکه مهاجم باید پیش از استقرار آن، از طریق دسترسی سطح بالا یا دسترسی فیزیکی، به دستگاه هدف دسترسی پیدا کرده باشد.
با این حال، نصب آخرین به‌روزرسانی به‌تنهایی برای مقابله کامل با این تهدید کافی نیست و باید اقدامات تکمیلی دیگری نیز انجام شود. این اقدامات شامل اجرای دستی مراحل لازم برای اعمال مکانیزم‌های ابطال بوت امن مایکروسافت است. برای مثال، باید گواهی «Windows Production PCA 2011» به فهرست مسدودسازی UEFI (DBX) اضافه شود. بررسی‌های شرکت امنیت سایبری کسپرسکی نشان می‌دهد که مهاجمان از اجرا نشدن این اقدامات دستی در سازمان‌ها سوءاستفاده می‌کنند. در نتیجه، حتی نصب پچ مربوط به آسیب‌پذیری Baton Drop نیز مانع سوءاستفاده مهاجمان از آن نمی‌شود. به گفته پژوهشگران کسپرسکی ، گواهی مذکور در 19 اکتبر 2026 منقضی شده است؛ بااین‌حال، انقضای آن به‌تنهایی مانع بارگذاری فایل‌های باینری آسیب‌پذیر نمی‌شود و این فایل‌ها همچنان قابل بارگذاری هستند، مگر اینکه گواهی در فهرست مسدودسازی قرار بگیرد.
پژوهشگران احتمال می‌دهند مهاجمان پشت این کمپین، با توجه به اینکه تنها شمار اندکی از سازمان‌ها از اهمیت فعال‌سازی دستی پچ Baton Drop آگاه بوده‌اند، تصمیم گرفته باشند زمان بیشتری را صرف بررسی نحوه عملکرد BlackLotus و توسعه نسخه‌ای مشابه از این بوت‌کیت کنند.
روش استقرار و سازوکار نصب بوت‌کیت
مهاجمان ابتدا با روشی نامشخص به شبکه قربانیان نفوذ می‌کنند و پس از دستیابی به دسترسی ادمین، بوت‌کیت BlackX را روی سیستم‌های آلوده مستقر می‌سازند. برای نصب این بوت‌کیت، مهاجمان ابتدا دو فایل زیر را روی دستگاه قربانی قرار می‌دهند:
- exe: فایل اجرایی نصب‌کننده (Installer).
- PVMDIJGKAX2: فایلی رمزگذاری‌شده و فاقد پسوند که فایل‌ها و رشته‌های متنی موردنیاز برای نصب را در خود جای داده است.
سپس نصب‌کننده از طریق خط فرمان (Command Line) و با اجرای دستور زیر راه‌اندازی می‌شود:
C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1در این دستور، رشته Q46F6MDLI3RX2KV1 کلید RC4 است که برای رمزگشایی فایل استفاده می‌شود.
سپس باینری مذکور فایل‌های دیگری را در پارتیشن‌های سیستم و UEFI قرار می‌دهد تا با روشی مشابه تکنیک به‌کاررفته در BlackLotus از آسیب‌پذیری CVE-2022-21894 سوءاستفاده کند. هدف نهایی نیز همچنان نصب کلیدهای مالک دستگاه (Machine Owner Keys یا MOK) برای بارگذاری فایل‌های دلخواه EFI روی سیستم‌های آلوده و مختل کردن مکانیزم بوت امن است.
نکته قابل‌توجه این است که کد منبع کامل BlackLotus تاکنون در دسترس عموم قرار نگرفته است. این موضوع نشان می‌دهد که عوامل پشت این عملیات یا با مهندسی معکوس (Reverse Engineering)، ساختار و عملکرد بوت‌کیت اصلی را بازسازی کرده‌اند یا کد منبع آن را از شخص یا گروه دیگری خریداری کرده‌اند.
به گفته کسپرسکی، این موضوع از آن جهت قابل‌توجه است که گروه‌های تهدید پیشرفته (APT) به‌ندرت از ایده‌ها یا کدهای توسعه‌یافته توسط عوامل جرایم سایبری الگوبرداری می‌کنند.
دستکاری کرنل ویندوز و تضعیف راهکارهای امنیتی
پیلود UEFI که پس از سوءاستفاده از آسیب‌پذیری اجرا می‌شود، برای تزریق یک درایور مخرب به کرنل ویندوز طراحی شده است. این درایور با گواهی دیجیتال متعلق به شرکتی به نام Wenjiang District Mingyu Network Technology Service Studio امضا شده است؛ هرچند صادرکننده گواهی بعداً آن را باطل کرده است.
این درایور با استفاده از تکنیک «درایور آسیب‌پذیر خود را بیاورید» (Bring Your Own Vulnerable Driver یا BYOVD)، تلاش می‌کند عملکرد نرم‌افزارهای امنیتی endpoint نصب‌شده روی سیستم را مختل کند. نکته قابل‌توجه اینکه برخی از عملیات دستکاری غیرمجاز این درایور تنها در صورت نصب محصولات امنیتی کسپرسکی یا Avast روی دستگاه فعال می‌شوند. بااین‌حال، بررسی‌های کسپرسکی نشان داده است که این عملیات در عمل کارایی چندانی ندارند.
درایور مخرب علاوه بر تلاش برای مختل کردن عملکرد نرم‌افزارهای امنیتی، یک پیلود جاسوسی دیگر نیز در محیط اجرای برنامه‌های ویندوز مستقر می‌کند. تاکنون دو نوع از این پیلودها در حملات مرتبط با BlackX شناسایی شده‌اند:
- تروجان دسترسی از راه دور (RAT): این بدافزار می‌تواند پیلودهای اضافی مبتنی بر .NET را به سیستم قربانی منتقل کند. همچنین برای ارتباط با سرور فرماندهی و کنترل (C2)، از سرویس‌هایی مانند Google Drive، OneDrive و Disk بهره می‌گیرد تا ترافیک مخرب خود را در میان فعالیت‌های عادی سازمان پنهان کند. جمع‌آوری اطلاعات سیستم و بارگذاری فایل‌های موردنظر مهاجمان نیز از دیگر قابلیت‌های این تروجان است.
- DLL مخرب OxiDLLRunner: این فایل مخرب از طریق تکنیک بارگذاری جانبی DLL (DLL Sideloading) و با کمک باینری قانونی exe اجرا می‌شود. بوت‌کیت نیز باینری googleupdate.exe را روی سیستم مستقر می‌کند. DLL مخرب پس از اجرا، یک پیلود مبتنی بر زبان Rust را رمزگشایی و راه‌اندازی می‌کند. این پیلود برای دریافت و اجرای پلاگین‌های DLL بیشتر، با دامنه archivetj[.]com ارتباط برقرار می‌کند.
نشانه‌های ارتباط احتمالی BlackX با گروه APT41
ارتباط احتمالی BlackX با گروه APT41 به گزارشی بازمی‌گردد که شرکت امنیت سایبری ESET در ژوئن 2026 منتشر کرد. این گزارش استفاده گروه FishMonger از بکدور ویندوزی SprySOCKS را در حملات سال‌های 2023 و 2024 علیه نهادهای دولتی هندوراس، تایوان، تایلند و پاکستان مستند کرده است. گروه FishMonger با نام‌های Aquatic Panda و Earth Lusca نیز شناخته می‌شود و طبق ارزیابی‌ها، در چارچوب گروه تهدید APT41 فعالیت می‌کند.
شرکت امنیت سایبری اسلواکی اعلام کرد که پژوهشگران این شرکت «نشانه‌های محدودی» از وجود یک کامپوننت بوت‌کیت UEFI در برخی نسخه‌های بکدور شناسایی کرده‌اند. این کامپوننت احتمالاً از آسیب‌پذیری CVE-2023-24932 سوءاستفاده می‌کند. این آسیب‌پذیری به مهاجم اجازه می‌دهد اقدامات حفاظتی مایکروسافت برای مقابله با CVE-2022-21894 را دور بزند.
آسیب‌پذیری CVE-2023-24932 امکان اجرای حمله داون‌گرید (Downgrade Attack) را فراهم می‌کند. در این حمله، مهاجمِ دارای دسترسی سطح بالا، سیستم را وادار می‌کند با نسخه قدیمی‌تری از کامپوننت مدیریت بوت ویندوز (Windows Boot Manager) راه‌اندازی شود. این نسخه، با وجود برخورداری از امضای معتبر مایکروسافت، همچنان به آسیب‌پذیری CVE-2022-21894 آلوده است و می‌تواند دوباره برای دور زدن مکانیزم بوت امن مورد سوءاستفاده قرار گیرد.
یکی از نشانه‌های قابل‌توجه در بررسی ارتباط احتمالی این حملات با FishMonger، وجود رشته «xdd» در کد بوت‌کیت و ایمپلنت کرنل مورد استفاده این گروه است. این شباهت احتمال استفاده از همان بوت‌کیت UEFI در حملات منتسب به FishMonger را مطرح می‌کند. نشانه دیگر، استفاده از تکنیک بارگذاری جانبی DLL برای استقرار پیلودهاست؛ روشی که در میان گروه‌های تهدید همسو با چین رواج زیادی دارد.
به گفته پژوهشگران کسپرسکی، مهاجمان با استفاده از یک ابزار تجاری جرایم سایبری و تطبیق آن با نیازهای خود، توانسته‌اند مکانیزم‌های حفاظتی فرآیند بوت ویندوز را دور بزنند. این رویکرد ترکیبی نشان می‌دهد که گروه‌های تهدید پیشرفته (APTs) برای ایجاد دسترسی پایدار و پنهان در شبکه‌ها، لزوماً نیازی ندارند ابزارهای مورد استفاده خود را از پایه توسعه دهند.
موضع ESET درباره شباهت‌های دو نمونه بدافزاری
تیم پژوهشی ESET پس از انتشار گزارش، در پاسخ به پرسشی درباره ارتباط BlackX و FishMonger، وجود شباهت‌هایی میان این دو را تأیید کرد؛ اما تأکید داشت که بدون بررسی و مقایسه مستقیم نمونه‌های بدافزاری، نمی‌توان ارتباط میان آن‌ها را با اطمینان تأیید کرد.
پژوهشگران ESET برای توضیح شباهت‌های مشاهده‌شده، به سه نشانه اصلی اشاره کردند:
- احتمال سوءاستفاده از آسیب‌پذیری Baton Drop (CVE-2022-21894)
- وجود شناسه «xdd» در کدهای بدافزار
- ارتباط عوامل تهدید مرتبط با این فعالیت‌ها با چین
مجموع این نشانه‌ها احتمال ارتباط میان نمونه مورد بررسی و فعالیت‌های FishMonger را تقویت می‌کند. بااین‌حال، تیم پژوهشی ESET تأکید کرد که بدون بررسی و مقایسه مستقیم نمونه‌های اصلی، امکان تأیید یا رد ارتباط مستقیم میان این دو وجود ندارد. همچنین این تیم اعلام کرد که فعالیت عوامل تهدید مرتبط را زیر نظر دارد و در صورت لزوم، جزئیات بیشتری منتشر خواهد کرد.
