B
今週中
中国政府支援のAPT41が、中央アジアの外交機関を標的とした新しいUEFIブートキット「BlackX」を運用していること
📌 一言でいうと
中国政府支援のAPT41が、中央アジアの外交機関を標的とした新しいUEFIブートキット「BlackX」を運用していることが判明しました。BlackXはBlackLotusの更新版であり、Secure Bootの脆弱性（CVE-2022-21894）を悪用してWindowsの起動防御を回避し、永続的なアクセスを確保します。パッチ適用済みであっても、失効リスト（Revocations）が更新されていないシステムは依然として攻撃を受ける可能性があります。
🔍該当判定
- Windows PCを利用しており、かつOSのアップデートを数年前から停止させている
- 中央アジア（タジキスタン、ウズベキスタン、トルクメニスタン）の外交機関や政府関係者と業務上のやり取りがある
- PC起動時のセキュリティ機能である『セキュアブート (Secure Boot)』を意図的に無効化して運用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Windows Updateを最新の状態に保ち、特にSecure BootのDBX（失効リスト）が更新されているか確認してください。また、UEFIレベルの整合性監視ツールの導入を検討してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】UEFIブートキット「BlackX」によるSecure Boot回避への対応について
お疲れさまです。BlackXに関する情報共有です。
■ 概要
中国系APT41が運用するUEFIブートキット「BlackX」が確認されました。本マルウェアはCVE-2022-21894 (Baton Drop) を悪用し、Secure Bootを回避してOS起動前に悪意あるコードを実行します。OSにパッチが適用されていても、UEFIの失効リスト(DBX)が更新されていない場合に侵害されるリスクがあります。
■ 影響範囲
- Secure Bootの失効リスト(DBX)が未更新のWindowsシステム
■ 対応手順
1. Windows Updateを適用し、最新のセキュリティ更新プログラムを導入する。
2. UEFIのDBX更新が適用されているか、ベンダー提供のツール等で確認する。
3. 不審なブート構成の変更がないか、EDRや整合性チェックツールで監視する。
■ 参考情報
- Kaspersky Technical Report
対応優先度: 高
対応期限: 速やかに
お疲れさまです。BlackXに関する情報共有です。
■ 概要
中国系APT41が運用するUEFIブートキット「BlackX」が確認されました。本マルウェアはCVE-2022-21894 (Baton Drop) を悪用し、Secure Bootを回避してOS起動前に悪意あるコードを実行します。OSにパッチが適用されていても、UEFIの失効リスト(DBX)が更新されていない場合に侵害されるリスクがあります。
■ 影響範囲
- Secure Bootの失効リスト(DBX)が未更新のWindowsシステム
■ 対応手順
1. Windows Updateを適用し、最新のセキュリティ更新プログラムを導入する。
2. UEFIのDBX更新が適用されているか、ベンダー提供のツール等で確認する。
3. 不審なブート構成の変更がないか、EDRや整合性チェックツールで監視する。
■ 参考情報
- Kaspersky Technical Report
対応優先度: 高
対応期限: 速やかに
Subject: [Technical Alert] UEFI Bootkit BlackX Bypassing Secure Boot
Dear Team,
We are sharing information regarding the BlackX UEFI bootkit attributed to APT41.
■ Overview
BlackX is an evolved version of BlackLotus that exploits CVE-2022-21894 (Baton Drop) to bypass Secure Boot. It allows attackers to execute malicious code before the OS loads, effectively disabling security solutions. Notably, systems patched against the CVE but missing the corresponding UEFI revocation list (DBX) updates remain vulnerable.
■ Scope
- Windows systems with outdated UEFI revocation lists (DBX).
■ Mitigation Steps
1. Ensure all Windows Updates are applied to the latest version.
2. Verify that the UEFI DBX (revocation list) has been updated via vendor tools or Windows Update.
3. Monitor for unauthorized changes to the boot configuration using integrity monitoring tools.
■ Reference
- Kaspersky Technical Report
Priority: High
Deadline: Immediate
Dear Team,
We are sharing information regarding the BlackX UEFI bootkit attributed to APT41.
■ Overview
BlackX is an evolved version of BlackLotus that exploits CVE-2022-21894 (Baton Drop) to bypass Secure Boot. It allows attackers to execute malicious code before the OS loads, effectively disabling security solutions. Notably, systems patched against the CVE but missing the corresponding UEFI revocation list (DBX) updates remain vulnerable.
■ Scope
- Windows systems with outdated UEFI revocation lists (DBX).
■ Mitigation Steps
1. Ensure all Windows Updates are applied to the latest version.
2. Verify that the UEFI DBX (revocation list) has been updated via vendor tools or Windows Update.
3. Monitor for unauthorized changes to the boot configuration using integrity monitoring tools.
■ Reference
- Kaspersky Technical Report
Priority: High
Deadline: Immediate