BlackX、更新済みWindowsでもSecure Bootを迂回―証明書失効の手動措置が未完了

Kasperskyは2026年10月22日、中央アジアの外交機関への攻撃で使われた不正プログラム「BlackX」を報告しました。2026年初頭に観測した事案の分析で、Windowsが起動する前に動くブートキットです。同社はAPT41の関与を中程度の確度で評価しています。

攻撃者はすでに内部ネットワークへ侵入し、Windows端末の管理者権限を取得した後でBlackXを設置していました。起動時に信頼済みソフトだけを読み込むSecure Bootの保護を、既知のBaton Drop脆弱性で迂回します。今回の報告から、最初の侵入経路までは分かりません。

対象端末には更新が適用されていましたが、脆弱な起動部品の署名証明書を失効させる追加措置が行われていませんでした。更新のインストールだけでは保護が完了しない点が、攻撃に利用されたと同社は説明しています。BlackXはその後、セキュリティ製品への干渉やスパイ活動用プログラムの配置を試みます。

Microsoftの対策文書は、更新に加え、環境への影響評価と失効措置の適用を案内しています。古い起動・回復メディアが使えなくなる場合があるため、管理者は公式手順と機種ごとの互換性を確認する必要があります。これは予防策であり、すでに侵害された端末を更新だけで復旧できるという意味ではありません。