NIEUWS

Samenvatting: Kaspersky heeft een nieuwe UEFI-bootkit ontdekt met de naam BlackX. De malware misbruikt Baton Drop (CVE-2022-21894) om Secure Boot te omzeilen. Die fout is al sinds 2022 bekend. BlackX werkte op Windows-systemen die volledig bijgewerkt waren. De beheerders hadden een extra stap overgeslagen: het handmatig activeren van Secure Boot-intrekkingen. De aanvallers richtten zich op diplomatieke organisaties in Centraal-Azië.

Wat is BlackX?

BlackX is een UEFI-bootkit. Zo’n malware nestelt zich in de opstartfase van een computer. Dat gebeurt vóór Windows start. Daardoor ziet beveiligingssoftware de infectie vaak te laat of helemaal niet.

Kaspersky GReAT vond BlackX begin 2026. De onderzoekers publiceerden hun analyse op 22 oktober 2026 op Securelist. De malware lijkt sterk op BlackLotus. Dat was de eerste bekende bootkit die Secure Boot op Windows 11 omzeilde. BlackLotus circuleerde sinds oktober 2022 op hackersforums.

BlackX gebruikt een andere kernelstuurprogramma en andere vervolgpayloads dan BlackLotus. Kaspersky noemt de implementatie van de exploit “opvallend vergelijkbaar”. Het bedrijf koppelt de campagne met gemiddeld vertrouwen aan APT41. Dat is een Chinese, door de staat gesteunde groep.

Wat is de Baton Drop-fout?

Baton Drop is de bijnaam van CVE-2022-21894. Het is een kwetsbaarheid in door Microsoft ondertekende UEFI-bootloaders. Secure Boot moet ervoor zorgen dat alleen vertrouwde software opstart. Baton Drop breekt die controle.

Met de fout kan een aanvaller eigen Machine Owner Keys (MOK) registreren. Daarna laadt het systeem willekeurige EFI-bestanden. Secure Boot laat de malware dan gewoon door.

Hoe werkte de aanval?

Dit is het beeld uit de rapportages, op hoofdlijnen:

De aanvallers hadden al toegang tot het netwerk. Ze hadden ook beheerdersrechten.

Ze plaatsten een installatiepakket op de computer.

Het pakket schreef bestanden naar de systeempartitie en de UEFI-partitie.

Baton Drop registreerde de eigen sleutels van de aanvallers.

Bij het opstarten laadde de bootkit een kwaadaardig kernelstuurprogramma.

Dat stuurprogramma stoorde beveiligingsmonitoring.

Het stuurprogramma was ondertekend met een inmiddels ingetrokken certificaat. Dat certificaat was uitgegeven aan een Chinees bedrijf. De malware zou ook bedoeld zijn om spionagesoftware te installeren. De namen daarvan zijn niet genoemd. Een bron meldt dat de bootkit het op de beveiligingsproducten van Kaspersky en Avast had voorzien.

BlackX is geen eerste toegangsmethode. De aanvallers waren al binnen. Microsoft benadrukt dat ook over Baton Drop in het algemeen. De bootkit zorgt voor persistentie en verberging.

Waarom werkt een oude fout nog op bijgewerkte systemen?

Dit is het belangrijkste punt. Alle bekende slachtoffers draaiden volgens Kaspersky een volledig bijgewerkte Windows. De aanval werkte toch.

De reden is de aard van de oplossing. Het Baton Drop-patch trekt het certificaat “Windows Production PCA 2011” in. Daarmee ondertekende Microsoft de kwetsbare componenten. Die intrekking gebeurt niet vanzelf bij het installeren van de update. Een beheerder moet haar handmatig activeren. Dat gaat via een registerinstelling onder de Secureboot-sleutel. Ook moet de geplande taak Secure-Boot-Update draaien. Microsoft beschrijft dat diep in zijn documentatie.

Tot die intrekking gebeurt, blijft een kwetsbare, door Microsoft ondertekende bootloader geldig. Een aanvaller kan hem dan als opstapje gebruiken. Daardoor is een systeem bijgewerkt en toch kwetsbaar.

Wie waren de doelwitten?

De aanvallers richtten zich op diplomatieke instanties in Tadzjikistan, Oezbekistan en Turkmenistan. Het ging om gerichte spionage. Er is geen aanwijzing voor brede aanvallen op consumenten. Die inschatting komt van de onderzoekers. Toch geldt de les breder. Ook andere groepen kunnen de methode toepassen.

Wat kunnen organisaties doen?

Dit is de belangrijkste verdediging:

Activeer de Secure Boot-intrekkingen. Volg Microsofts documentatie over het beheren van intrekkingen voor Secure Boot. Controleer de status op elke computer.

Test eerst. Intrekken kan oudere opstartmedia onbruikbaar maken. Dual-bootsystemen verdienen extra aandacht.

Werk herstelmedia bij. Maak nieuwe installatiemedia voor het intrekken.

Beperk beheerdersrechten. BlackX heeft die rechten nodig om te installeren.

Bewaak de opstartpartitie. Let op onverwachte wijzigingen in de EFI-systeempartitie. Let ook op nieuwe sleutels voor Secure Boot.

Gebruik moderne detectie. Kies EDR met zicht op opstartintegriteit en kernelstuurprogramma’s.

Gebruik BitLocker en gemeten opstart waar mogelijk. Ze maken manipulatie zichtbaar.

Houd je firmware bij. Controleer de leveranciersadviezen.

Wat betekent dit voor thuisgebruikers?

Het risico voor thuisgebruikers is klein. BlackX hoort bij gerichte spionage. De aanvaller heeft beheerderstoegang nodig. Toch geldt een gewone les. Installeer updates. Beveilig je account. Gebruik geen onbekende software met beheerdersrechten. Voor bedrijven met meerdere apparaten geldt dit scherper.

Waarom is dit nieuws?

Secure Boot geldt als fundament van beveiliging. BlackX laat zien dat een vinkje in het BIOS niet volstaat. Het laat ook zien dat een patch niet altijd de volledige oplossing is. Hier ligt de kloof bij de handmatige intrekking. De les voor beheerders is dat “volledig bijgewerkt” niet gelijkstaat aan “volledig beveiligd”. Dit is een redactionele conclusie.

Veelgestelde vragen

Wat is BlackX?
Een UEFI-bootkit die Secure Boot omzeilt. Kaspersky ontdekte hem begin 2026.

Welke kwetsbaarheid gebruikt BlackX?
Baton Drop, officieel CVE-2022-21894.

Is BlackX verwant aan BlackLotus?
Ja. De exploit lijkt sterk op die van BlackLotus. De stuurprogramma’s en payloads verschillen.

Wie zit erachter?
Kaspersky koppelt de campagne met gemiddeld vertrouwen aan APT41.

Waarom werkte het op bijgewerkte systemen?
De intrekking van het kwetsbare certificaat gebeurt niet automatisch. Beheerders moesten haar handmatig activeren.

Wie waren de slachtoffers?
Diplomatieke instanties in Tadzjikistan, Oezbekistan en Turkmenistan.

Hoe bescherm ik me?
Activeer de Secure Boot-intrekkingen, beperk beheerdersrechten en bewaak de opstartpartitie.

Loop ik als thuisgebruiker gevaar?
Het risico is klein. De aanval vergt beheerdersrechten en richt zich op specifieke doelen.