Kaspersky-მ სრულად განახლებულ კომპიუტერებში Windows-ის ჩატვირთვამდე მოქმედი ვირუსი, BlackX-ი აღმოაჩინა

Microsoft-მა ეს ხარვეზი წლების წინ აღმოფხვრა, თუმცა დაცვის სრულად ასამოქმედებლად ადმინისტრატორების ხელით ჩარევა დღემდე აუცილებელია.

კიბერუსაფრთხოების კომპანია Kaspersky-ს კვლევითმა გუნდმა GReAT-მა ცენტრალური აზიის დიპლომატიური უწყებების კომპიუტერებში ახალი მავნე პროგრამა BlackX აღმოაჩინა. სამიზნე ტაჯიკეთის, უზბეკეთისა და თურქმენეთის სამთავრობო ქსელები გახდა. თავდასხმა 2026 წლის დასაწყისში მოხდა, ხოლო მკვლევრებმა ანგარიში პლატფორმა Securelist-ზე გამოაქვეყნეს და დეტალები ინდონეზიის კუნძულ ბალიზე გამართულ კონფერენციაზე, Security Analyst Summit 2026-ზე, წარადგინეს. ყველაზე საყურადღებო ის არის, რომ დაინფიცირებულ კომპიუტერებზე Windows-ის ყველა განახლება დროულად ეყენა.

Kaspersky ამ კამპანიას საშუალო სანდოობით ჩინურენოვან ჰაკერულ ჯგუფ APT41-ს მიაწერს. მკვლევრები აღნიშნავენ, რომ როგორც თავდასხმის ავტორების შეფასება, ისე ინფორმაცია შეტევის მოგერიების შესახებ თავად Kaspersky-ს ეკუთვნის.

როგორ მუშაობს BlackX

BlackX ეგრეთ წოდებული UEFI bootkit-ია. მარტივად რომ ვთქვათ, ეს არის ვირუსი, რომელიც კომპიუტერის საბაზისო მიკროპროგრამაში ჯდება და მუშაობას ჯერ კიდევ მანამდე იწყებს, სანამ თავად Windows ჩაირთვება. სწორედ ამიტომ მისი შემჩნევა და წაშლა უკიდურესად რთულია. ის წარმოადგენს BlackLotus-ის განახლებულ ასლს, რომელიც 2022 წელს ბნელ ქსელში 5 000 დოლარად იყიდებოდა. Kaspersky-ს შეფასებით, სახელმწიფოებთან დაკავშირებული ჯგუფები ჩვეულებრივი კიბერკრიმინალების ხელსაწყოებს პირდაპირ იშვიათად სესხულობენ.

როგორ ახერხებს ვირუსი დაცვის გარღვევას? ის გვერდს უვლის Secure Boot-ს, ანუ Windows-ის იმ ფუნქციას, რომელმაც კომპიუტერის ჩართვისას მხოლოდ სანდო და შემოწმებული პროგრამები უნდა გაუშვას. ამისთვის ჰაკერები ძველ ხარვეზს, Baton Drop-ს (CVE-2022-21894), იყენებენ. თავდამსხმელებმა BlackX ქსელში მეორე, გრძელვადიან იარაღად მას შემდეგ დააყენეს, რაც ადმინისტრატორის უფლებები უკვე მოპოვებული ჰქონდათ. კვალის დასაფარად მათ დაშიფრული ფაილები და სპეციალური ინსტალატორები გამოიყენეს.

ვირუსის დრაივერი ჩინური კომპანიის აწ უკვე გაუქმებული სერტიფიკატით იყო ხელმოწერილი. ის დამცავი პროგრამების გათიშვას ცდილობს და საგანგებოდ Kaspersky-სა და Avast-ის წინააღმდეგ გაწერილი ბრძანებები აქვს. Kaspersky აცხადებს, რომ მის პროდუქტებთან ამ მცდელობამ არ გაამართლა. წარმატების შემთხვევაში, მომდევნო ეტაპზე ჯაშუშური პროგრამა ირთვება, რომელიც დოკუმენტების მოსაპარად Google Drive-ს, OneDrive-სა და Yandex Disk-ს იყენებს. მკვლევრებმა კომპიუტერებში მეორე მავნე კოდი, OxiDLLRunner-იც, იპოვეს.

რატომ ვერ დაიცვა კომპიუტერები განახლებამ

ყველა დაზარალებული კომპიუტერი სრულად იყო განახლებული. პრობლემა ის არის, რომ Microsoft-ის მიერ Baton Drop-ისთვის გამოშვებული განახლება ბოლომდე მხოლოდ მაშინ ამოქმედდება, როცა სისტემური ადმინისტრატორი ძველ სერტიფიკატს, Windows Production PCA 2011-ს, ხელით გააუქმებს. ამისთვის სისტემურ რეესტრში ცვლილების შეტანა და დაგეგმილი დავალების გაშვებაა საჭირო. Microsoft-მა ეს პროცესი ავტომატური იმიტომ არ გახადა, რომ შეზღუდვას შეიძლება მწყობრიდან გამოეყვანა ის კომპიუტერები, რომლებზეც ერთდროულად ორი ოპერაციული სისტემა აყენია.

Microsoft ავტომატური დაბლოკვის ეტაპის, ანუ Enforcement Phase-ის, ჩართვას გეგმავს, თუმცა Kaspersky-ს ანგარიშის გამოქვეყნების დროისთვის ეს ცვლილება ჯერ არ მოქმედებდა. მართალია, თავად სერტიფიკატს ვადა 2026 წლის 19 ოქტომბერს გაუვიდა, მაგრამ, სანამ ის შავ სიაში ხელით არ მოხვდება, დაუცველი საწყისი ფაილების ჩატვირთვას მხოლოდ ვადის გასვლა ვერ აჩერებს.

Kaspersky ტექნიკურ გუნდებს ურჩევს, არ დაელოდონ ავტომატურ განახლებას და Microsoft-ის ინსტრუქციით Baton Drop-ისგან დაცვა ხელით სრულად ჩართონ. აგრეთვე აუცილებელია ქსელში ადმინისტრატორის უფლებების მკაცრი შეზღუდვა და მოწყობილობებზე დამცავი სისტემების გამოყენება.

წყარო: Securelist (Kaspersky GReAT): New BlackX UEFI bootkit exploiting Baton Drop | Kaspersky press release: Kaspersky discovers BlackX bootkit targeting diplomatic organizations in Central Asia

ეს სტატია შეიქმნა AI ხელსაწყოებით, პროცესში ადამიანის ჩართულობა დაახლოებით 10%-ია.