Microsoft sta combattendo da anni contro una vulnerabilità critica di Windows 11 legata al boot manager, ma la sua correzione non è mai stata completata del tutto. Il paradosso è che la patch esiste, ma richiede interventi manuali da parte degli amministratori di sistema, e quasi nessuno li esegue. Il risultato? Sistemi perfettamente aggiornati restano esposti ad attacchi mirati.
BlackX, l'erede di BlackLotus
I ricercatori di Kaspersky hanno identificato un nuovo bootkit chiamato BlackX, in grado di bypassare Secure Boot su macchine Windows 11 con tutte le patch installate. La tecnica ricalca quella di BlackLotus, il primo bootkit UEFI documentato pubblicamente nel 2023. Entrambi sfruttano la vulnerabilità CVE-2022-21894, nota come Baton Drop, che consente di eseguire codice non autorizzato durante le fasi iniziali dell'avvio, prima che Secure Boot entri in azione. Microsoft aveva rilasciato una correzione già nel 2022, ma inizialmente non aveva revocato i certificati usati per firmare i vecchi boot manager vulnerabili. Solo successivamente ha aggiunto la revoca, ma con un processo che richiede passaggi manuali.
Attacchi mirati e disattivazione delle difese
Secondo Kaspersky, BlackX è stato utilizzato in attacchi di spionaggio contro organizzazioni diplomatiche in Asia Centrale, probabilmente dal gruppo APT41. Il bootkit serve a mantenere la persistenza sui sistemi già compromessi e a condurre spionaggio a lungo termine, con esfiltrazione di dati tramite servizi cloud comuni come Google Drive, OneDrive e Yandex Disk. Gli attaccanti tentano anche di disabilitare i prodotti di sicurezza endpoint, inclusi quelli di Kaspersky, ma la protezione rimane efficace. La vulnerabilità sfruttata, CVE-2023-24932, è stata corretta nel 2023, ma l'aggiornamento richiede che gli amministratori completino manualmente alcune configurazioni per attivare la protezione. Molte organizzazioni non lo hanno fatto e restano vulnerabili.
L'esperto Georgy Kucherin ha presentato i dettagli di BlackX al Security Analyst Summit 2026, sottolineando l'importanza di applicare le misure correttive. La lezione è chiara: non basta installare le patch, bisogna anche seguire le istruzioni per renderle effettive. Altrimenti, il rischio di bootkit come BlackX resta concreto.
