582/69 (IT) ประจำวันจันทร์ที่ 26 ตุลาคม 2569
นักวิจัยจาก Kaspersky เปิดเผยการตรวจพบ BlackX ซึ่งเป็น UEFI Bootkit ที่ถูกใช้ในการโจมตีจริงตั้งแต่ช่วงต้นปี 2569 โดยผู้โจมตีต้องเข้าถึงระบบและมีสิทธิ์ Administrator ก่อน จากนั้นใช้ช่องโหว่ Baton Drop (CVE-2022-21894) เพื่อข้าม Secure Boot และโหลดไฟล์ EFI ที่ผู้โจมตีควบคุม ทำให้มัลแวร์สามารถทำงานได้ตั้งแต่ก่อน Windows เริ่มทำงาน ทั้งนี้ เครื่องที่ได้รับผลกระทบบางส่วนติดตั้งอัปเดต Windows แล้ว แต่ยังไม่ได้ดำเนินการ Secure Boot revocation ที่เกี่ยวข้องอย่างครบถ้วน
หลังได้รับสิทธิ์ Administrator ผู้โจมตีจะติดตั้งส่วนประกอบของ BlackX ลงใน System และ UEFI Partition และเพิ่ม Machine Owner Key (MOK) ที่ผู้โจมตีควบคุม เพื่อช่วยโหลดไฟล์ EFI อันตราย จากนั้นมัลแวร์จะเรียกใช้ Kernel Driver เพื่อรบกวนการทำงานของระบบรักษาความปลอดภัยและลดการตรวจสอบผ่าน Event Tracing for Windows (ETW) นอกจากนี้ ยังพบ Payload สำหรับจารกรรมข้อมูล เช่น RAT ที่ใช้ Google Drive, OneDrive หรือ Yandex.Disk เป็นช่องทาง Command-and-Control (C2) และ OxiDLLRunner สำหรับโหลดส่วนประกอบเพิ่มเติม
ผู้ดูแลระบบควรอัปเดต Windows ให้เป็นปัจจุบัน และตรวจสอบว่าได้ดำเนินการ Secure Boot revocation ตามแนวทางของ Microsoft อย่างครบถ้วน รวมถึงตรวจสอบสถานะ Secure Boot DBX และการอัปเดตใบรับรอง Secure Boot ที่เกี่ยวข้อง นอกจากนี้ ควรตรวจสอบความผิดปกติใน System และ UEFI Partition พร้อมนำ Indicators of Compromise (IoCs) ที่ Kaspersky เผยแพร่มาใช้ประกอบการตรวจสอบ เนื่องจากการติดตั้งอัปเดต Windows เพียงอย่างเดียวอาจยังไม่เพียงพอสำหรับป้องกันการโจมตีลักษณะนี้