Das IT-Sicherheitsunternehmen Kaspersky hat am 22. Oktober 2026 über ein UEFI-Bootkit namens BlackX berichtet, das eine Schwachstelle im Windows-Bootprozess ausnutzt. Die Sicherheitslücke bleibt selbst auf vollständig gepatchten Systemen aktiv, bis Administratoren bestimmte Schritte zum Zertifikatswiderruf manuell vornehmen.
Technische Parallelen zu BlackLotus
Nach Angaben von Sicherheitsforschern nutzt BlackX den als Baton Drop bekannten Exploit CVE-2022-21894 und weist eine nahezu identische Funktionsweise wie das Bootkit BlackLotus auf. Die Schadsoftware registriert eigene Machine Owner Keys im UEFI und lädt beliebige EFI-Dateien nach.
Der Kernel-Treiber von BlackX ist mit einem widerrufenen Zertifikat von Wenjiang District Mingyu Network Technology Service Studio signiert. Im Betrieb deaktiviert er Sicherheitsprozesse sowie Registry-Callbacks, manipuliert die Ereignisablaufverfolgung ETW und löst einen Neustart des Systems aus, sobald die Bootkit-Dateien geöffnet werden.
Zudem enthält der Treiber Routinen, die gezielt nach installierter Sicherheitssoftware von Kaspersky und Avast suchen, um deren Funktion zu beeinträchtigen. Als Nutzlasten dienten unter anderem ein Fernzugriffstrojaner, dessen Befehls- und Kontrollkommunikation über die Cloud-Dienste Google Drive, OneDrive und Yandex.Disk abgewickelt wurde.
Ergänzend kam ein in Rust geschriebener und per OLLVM obfuskierter Loader namens OxiDLLRunner zum Einsatz, der über googleupdate.exe gestartet wurde und Plugins von einer externen Domain nachlud.
Angriffe auf diplomatische Vertretungen
Während hochkomplexe Angriffe wie BlackX gezielte IT-Infrastrukturen ins Visier nehmen, können viele alltägliche Systemfehler und Sicherheitslücken oft mit den richtigen Handgriffen selbst behoben werden. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie typische Windows-Probleme eigenständig lösen und Ihr System stabil halten. Windows 11 Hilfe-Report jetzt kostenlos herunterladen
Eine Kampagne unter Einsatz von BlackX richtete sich Anfang 2026 gegen diplomatische Einrichtungen in Tadschikistan, Usbekistan und Turkmenistan. Analysten ordnen die Aktivitäten mit mittlerer Konfidenz der Gruppierung APT41 zu, die auch unter den Bezeichnungen Brass Typhoon, Wicked Panda oder Barium bekannt ist.
Der Erstzugang zu den Netzwerken erfolgte dabei nicht unmittelbar über das Bootkit. Die Angreifer verschafften sich zunächst anderweitig Zugang, erlangten Administratorrechte und führten anschließend das Installationsprogramm inst.exe aus dem Verzeichnis C:ProgramDataIntel zusammen mit einem RC4-verschlüsselten Paket aus. In mindestens einem Fall blockierte der Endpoint-Schutz von Kaspersky den Versuch, die Abwehrmechanismen auszuschalten, und wehrte den Angriff ab.
Manueller Eingriff in UEFI-Sperrlisten erforderlich
Der Schutz vor modernen Cyberbedrohungen erfordert oft mehr als nur automatisierte Updates, da technische Schwachstellen tief im System verborgen sein können. Dieser Experten-Report zeigt Ihnen, wie Sie Ihr System gegen Hacker absichern und kritische Sicherheitslücken ohne teure IT-Unterstützung schließen. Kostenlosen Sicherheits-Leitfaden für Windows anfordern
Alle betroffenen Organisationen verfügten über vollständig aktualisierte Windows-Systeme. Der Schutz vor der Bedrohung greift erst dann, wenn Administratoren das Zertifikat mit der Bezeichnung „Windows Production PCA 2011″ manuell in die DBX-Sperrliste des UEFI aufnehmen.
Obwohl dieses Zertifikat am 19. Oktober 2026 ablief, verhindert das reguläre Ablaufdatum laut Kaspersky das Laden anfälliger Bootloader nicht, solange kein Eintrag in der Blockierliste vorliegt.
Microsoft bewertet die zugrunde liegende Schwachstelle CVE-2022-21894 mit einem CVSS-Wert von 4.4, während eine verwandte Sicherheitslücke, CVE-2023-24932, mit 6.7 eingestuft wird. Beide Schwachstellen sind nicht im KEV-Katalog der US-Cybersicherheitsbehörde CISA gelistet.
Kaspersky empfiehlt Systemadministratoren, administrative Berechtigungen strikt zu begrenzen und weiterführende Maßnahmen nach Vorgaben von Microsoft zu prüfen.
Ein vollständiger Zertifikatswiderruf erfordert entsprechende Vorbereitung, da zuvor erstellte Wiederherstellungsmedien nach der Aktualisierung der Sperrliste nicht mehr gestartet werden können. Erfolgreich durchgeführte Widerrufsprozesse lassen sich im Systemprotokoll an den Ereignis-IDs 1036, 1799, 1037 und 1042 nachvollziehen.