카스퍼스키 연구진이 올해 초 첩보 활동에 쓰인 UEFI 부트킷 'BlackX'를 분석한 결과를 공개했다. 연구진은 중간 정도의 확신으로 중국 연계 조직 APT41의 소행으로 보고 있으며, 표적은 타지키스탄·우즈베키스탄·투르크메니스탄의 외교 기관이었다.
BlackX는 CVE-2022-21894, 일명 Baton Drop 취약점을 악용해 보안 부팅을 우회하고 악성 드라이버를 불러온다. 같은 취약점은 앞서 BlackLotus 부트킷에도 쓰였고, 카스퍼스키는 두 악성코드의 공격 구현이 매우 비슷하다고 밝혔다. 2023년 유출된 BlackLotus 소스가 불완전했던 만큼, 공격자가 이를 역분석했거나 소스를 구매했을 가능성을 제기했다.
커널 드라이버는 이미 폐기된 인증서로 서명돼 있으며 보안 프로세스를 끄고 ETW 공급자를 조작한다. 클라우드 저장소를 명령 통제에 쓰는 원격 접속 도구와 추가 플러그인을 내려받는 페이로드도 확인됐다.
피해 PC는 모두 최신 패치가 적용된 Windows였다. 패치를 설치해도 'Windows Production PCA 2011' 인증서 폐기는 자동으로 이뤄지지 않아 관리자가 직접 적용해야 하기 때문이다. 카스퍼스키는 이 인증서의 10월 19일 만료만으로는 취약한 바이너리 로드가 막히지 않고 차단 목록 등록이 필요하다고 경고했다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.