完全にパッチが適用されたWindows環境でも機能するUEFIブートキット「BlackX」が、中央アジアの外交機関を狙った高度なサイバーエスピオナージュ作戦で使用されていたことが確認された。セキュリティ企業Kasperskyの分析により明らかになったこの脅威は、中国の国家支援ハッキング集団「APT41（別名：Brass Typhoon、Wicked Panda、Barium）」によるものとみられている。このブートキットはシステムの最も深い部分で動作し、KasperskyやAvastといった主要なセキュリティ製品を無効化する機能を備えている点で、これまでにない深刻な脅威として注目される。
BlackXは、2022年からハッカーフォーラムで流通していた別のブートキット「BlackLotus」と極めて密接な関係にある。BlackLotusのソースコードは2023年7月にGitHubで不完全な形でリークされたが、BlackXのコードには、その公開リポジトリには存在しないコード断片が含まれている。この事実から、KasperskyはBlackXの開発者がBlackLotusをリバースエンジニアリングしたか、もしくは非公開の完全なソースコードを入手した可能性が高いと分析している。標的はタジキスタン、ウズベキスタン、トルクメニスタンといった中央アジアの外交機関に集中しており、この作戦は2026年初頭に確認された。
Secure Boot突破「BlackX」の動作メカニズム
BlackXの最大の特徴は、既知の脆弱性「Baton Drop（CVE-2022-21894）」を悪用してMicrosoftのSecure Bootをバイパスする点にある。このブートキットは、Secure Bootの保護下でカスタムの「Machine Owner Keys（MOK）」をシステムに登録し、事前に定義されたブロックリストにない任意のEFIファイルを起動可能にする。
システム起動時に読み込まれる悪意あるカーネルドライバは、Wenjiang District Mingyu Network Technology Service Studioという組織に発行された証明書で署名されていた（この証明書は現在は失効済み）。このドライバは多岐にわたる妨害活動を行う。まず、KasperskyとAvastのセキュリティ製品が検出された場合にのみ、そのプロセスやレジストリコールバックを強制的に無効化するトリガーロジックを搭載している。さらに、イベントログ監視基盤「Event Tracing for Windows（ETW）」のプロバイダを改ざんし、システム管理者による追跡やフォレンジックを妨害する。ドライバは自身のファイルを保護するため、ファイルオープン要求を横取りし、代わりにWindowsの電卓アプリケーションを起動する陽動行動も行う。
RATとOxiDLLRunner——多段階のスパイツール群
BlackXは、ブートキットとしての役割を果たした後、感染端末に以下の2種類の高度なスパイペイロードを展開する。
- クラウドストレージRAT：Google Drive、OneDrive、Yandex.Diskといった一般利用されるクラウドサービスをC2（コマンド＆コントロール）サーバとして悪用する。このRATは.NETペイロードの実行、ファイルのアップロード/ダウンロードを指令に応じて行う。
- OxiDLLRunner：「googleupdate.exe」に偽装して実行されるOLLVM難読化DLLローダー。暗号化された「v8_context_snapshot.bin」ファイルを復号し、シェルコードを実行する。さらにRust製ペイロードを起動し、標的のWebサイト「archivetj.com」からDLLプラグインを動的に取得して実行する。
なぜ「完全パッチ済み」Windowsでも感染が成立したのか
今回の事例がセキュリティ業界に強い衝撃を与えた最大の要因は、BlackXの被害を受けた全てのシステムが、完全にパッチ適用済みの最新のWindowsリリースであった点にある。
脆弱性Baton Dropの修正パッチは、脆弱なUEFIコンポーネントの署名に使用されている「Windows Production PCA 2011」証明書を失効させるよう設計されている。しかし、Kasperskyの分析によれば、この失効はパッチのインストールと同時に自動的に行われるわけではない。パッチを適用しただけではSecure Bootの防御は改善されず、システム管理者が手動で追加の失効トリガーを実行しなければならない仕様になっている。
攻撃者が正確に突いた「運用上の落とし穴」
セキュリティアップデートを適用した後に、管理者が手動で追加の設定を行うことは実際の運用現場では極めて稀である。BlackXの攻撃者は、この「パッチ適用と実際の防御発動の間に存在するギャップ」を正確に認識し、BlackLotusの研究とコピー作成に時間を投資したとKasperskyは結論づけている。これは、人間の行動に依存したアップデートプロセス自体が、国家レベルの攻撃者にとって格好の標的となっている現実を浮き彫りにした形だ。
システム管理者が今すぐ取るべき対策
この脅威から組織のシステムを防御するためには、以下の対策を確実に実行する必要がある。
- Microsoftが公開しているBaton Drop（CVE-2022-21894）の完全修正手順に従い、Secure Bootの失効リスト（ブロックリスト）を手動で更新する。
- 2026年10月19日に証明書「Windows Production PCA 2011」が有効期限を迎えても、自動的に脆弱なバイナリの読み込みが停止されるわけではない。ブロックリストに手動で追加しない限り、Secure Bootは防御として機能しない。
- UEFIファームウェアの設定やブートレベルでの不審なMOKの登録状況を定期的に監査する。
BlackXの登場は、システムの最も基盤となるレイヤであるUEFIを標的にした攻撃が、完全に実戦レベルに達したことを示している。ソフトウェアアップデートの仕組みに内在する「人間による運用」のギャップが、国家支援ハッカーに正確に突かれた今回の事例は、ソフトウェアサプライチェーン全体のセキュリティ設計そのものに一石を投じるものと言えるだろう。もはや「パッチを当てれば安心」という前提は通用しない。プラットフォームレベルの防御機構を正しく運用するための、能動的かつ継続的な対策が不可欠な時代に突入したのである。
