Ein neues UEFI-Bootkit namens BlackX wurde Anfang 2026 in einer Spionagekampagne gegen diplomatische Einrichtungen in Zentralasien eingesetzt. Nach Angaben von Kaspersky nutzt die Schadsoftware die Schwachstelle Baton Drop (CVE-2022-21894), die bereits vom Bootkit BlackLotus missbraucht wurde, um Secure-Boot-Schutzmechanismen zu umgehen und eigene Machine Owner Keys sowie beliebige EFI-Dateien zu laden.
Besonders problematisch ist, dass alle untersuchten Opfer vollständig gepatchte Windows-Versionen betrieben. Die Installation des Sicherheitsupdates allein widerruft das betroffene Zertifikat „Windows Production PCA 2011“ jedoch nicht automatisch. Administratoren müssen die zusätzliche Sperrung manuell über die Secure-Boot-Sperrliste aktivieren; auch das Ablaufen des Zertifikats am 19. Oktober 2026 verhindert das Laden verwundbarer Komponenten nicht.
BlackX installiert einen inzwischen widerrufenen, signierten Kernel-Treiber, der Sicherheitsprozesse und Registry-Callbacks manipuliert und die Überwachung über ETW stört. Zusätzlich enthält die Schadsoftware einen Remote-Access-Trojaner, der Google Drive, OneDrive oder Yandex.Disk für die Kommunikation nutzt, sowie weitere Spionagekomponenten, die Dateien sammeln und nachladen.
Für Unternehmen reicht es daher nicht, den Patch-Stand zu prüfen. Die erforderlichen Secure-Boot-Widerrufe sollten gemäß Microsofts Anleitung aktiv gesetzt und anschließend verifiziert werden. Zusätzlich empfiehlt sich die Suche nach unerwarteten Machine-Owner-Keys, EFI-Dateien, manipulierten Ereignisprotokollen und Treibern mit widerrufenen Zertifikaten.