APT41 gebruikt een aangepaste versie van de BlackLotus UEFI bootkit, genaamd BlackX, om diplomatieke doelen in Centraal-Azië te compromitteren.
Begin 2026 werd een geavanceerde APT-campagne ontdekt die diplomatieke organisaties in Centraal-Azië, waaronder Tadzjikistan, Oezbekistan en Turkmenistan, als doelwit had. De aanvallers maakten gebruik van een UEFI bootkit die zij BlackX noemden, welke sterke gelijkenissen vertoont met de eerder bekende BlackLotus bootkit. Deze bootkit maakt misbruik van een kwetsbaarheid in Secure Boot, bekend als Baton Drop (CVE-2022-21894), om kwaadaardige code te laden tijdens het opstartproces van het systeem.
De BlackLotus bootkit werd in oktober 2022 voor het eerst geadverteerd op een hackingforum voor een prijs van 5.000 dollar, maar werd toen nog met scepsis bekeken omdat er geen voorbeelden in het wild waren gevonden. In maart 2023 bevestigde ESET echter dat de bootkit echt was en dat deze de Baton Drop-kwetsbaarheid effectief kon exploiteren. Microsoft bracht daarop meerdere beveiligingsupdates uit om deze kwetsbaarheid te verhelpen. Na deze updates was er lange tijd geen publiek bekende inzet van BlackLotus, tot de recente ontdekking van BlackX.
De aanvallers installeerden BlackX nadat zij netwerktoegang en administratorrechten op de doelmachines hadden verkregen. De installatie gebeurde via een installerbestand (inst.exe) en een versleuteld bestand (PVMDIJGKAX2) dat alle benodigde componenten bevatte. De exploitatie van de Baton Drop-kwetsbaarheid stelde de aanvallers in staat om aangepaste Machine Owner Keys (MOK) te installeren, waardoor zij kwaadaardige EFI-bestanden konden laden en Secure Boot konden omzeilen. Hoewel de exploitatie sterk leek op die van BlackLotus, waren er ook verschillen, wat erop kan wijzen dat de aanvallers de bootkit mogelijk hebben gereverse-engineerd of de broncode hebben gekocht.
De door BlackX geladen payload injecteert een kwaadaardige driver in de Windows-kernel, die anders is dan die van BlackLotus en is ondertekend met een certificaat van een Chinese organisatie. Dit certificaat is inmiddels ingetrokken. De campagne toont aan dat APT-groepen geavanceerde technieken blijven gebruiken om beveiligingsmechanismen te omzeilen en gevoelige doelwitten te compromitteren.
