BlackXブートキットがSecure Bootを回避、Baton Drop脆弱性を悪用

by

概要

2026年初頭に活動が確認された新たなUEFIブートキット「BlackX」。古いUEFI脆弱性「Baton Drop」を利用し、Secure Boot をバイパスしてマルウェアドライバをロードします。Kaspersky や Avast などのセキュリティ製品を標的にし、検知・除去を妨害します。

技術的詳細・特徴

  • 対象はUEFIファームウェアの「Baton Drop」(CVE-2023-XXXXX)で、署名検証を回避できる。
  • 脆弱性はUEFIのDXEドライバロード時に署名チェックをスキップさせるロジックエラーで、特定のメモリ領域を書き換えることで実現。
  • ブートローダーにパッチを当て、正規のOSローダーとして振る舞いながら悪意コードを注入。
  • BlackX は自己署名のPEファイルを使用し、Secure Boot の許可リストに登録されたキーと同一のハッシュを偽装。
  • ロードされたドライバはカーネルレベルで動作し、Kaspersky と Avast のリアルタイム保護やスキャンエンジンを無効化。
  • 検知回避のため、標的のアンチウイルス製品のプロセスやサービスを停止させるコードが組み込まれている。
  • 通信は暗号化されたC2サーバーへ行い、追加ペイロードを取得可能。

影響・対策方法

Secure Boot を有効にしていても、Baton Drop が未修正のマシンは侵入リスクがあります。対策としては、UEFI ファームウェアをベンダー提供の最新バージョンに更新し、Baton Drop 脆弱性を修正することが最重要です。また、Secure Boot のキー管理を見直し、信頼できる署名のみを許可する設定を推奨します。さらに、エンドポイントのセキュリティ製品は最新定義に保ち、異常なカーネルドライバのロードを監視することが有効です。企業環境では、UEFI の設定が統一されていない端末が多数存在するため、全社的なファームウェア更新が必要です。加えて、ハードウェアベンダーが提供する Secure Boot のロックダウン機能を有効化し、未署名ドライバのロードを禁止することが推奨されます。

出典

情報元: BleepingComputer

Leave a Comment