كشفت كاسبرسكي عن برمجية الإقلاع الخبيثة BlackX، التي استهدفت مؤسسات دبلوماسية في آسيا الوسطى، مستغلة ثغرة أمنية في نظام ويندوز لتجاوز آليات الإقلاع الآمن وتعطيل برامج الحماية، مع ترجيحات بارتباط الحملة بمجموعة APT41.
أعلن فريق البحث والتحليل العالمي في كاسبرسكي (GReAT)، في 29 أكتوبر 2026، اكتشاف برمجية BlackX، وهي برمجية إقلاع خبيثة متطورة تتيح للمهاجمين الحفاظ على وصول خفي وطويل الأمد إلى الأجهزة المصابة، من خلال استغلال قصور في استكمال إجراءات معالجة ثغرة أمنية معروفة باسم Baton Drop.
وجاء الاكتشاف عقب رصد حلول كاسبرسكي الأمنية، مطلع عام 2026، هجومًا من نوع التهديدات المتقدمة المستمرة (APT) استهدف منظمات وهيئات دبلوماسية في منطقة آسيا الوسطى. ورجح خبراء الشركة، بمستوى ثقة متوسط، ارتباط الحملة بمجموعة APT41، مشيرين إلى أن BlackX تمثل نسخة محدثة ومتطورة من البرمجية الخبيثة BlackLotus.
BlackX تستغل ثغرة في الإقلاع الآمن لنظام ويندوز
أوضحت كاسبرسكي أن برمجية BlackX تعتمد على استغلال ثغرة Baton Drop، التي تؤثر في آليات الإقلاع الآمن (Secure Boot)، وهي ميزة تهدف إلى ضمان تشغيل مكونات برمجية موثوقة عند بدء تشغيل الحاسوب.
ورغم إصدار شركة مايكروسوفت تحديثًا أمنيًا لمعالجة الثغرة، فإن تفعيل الحماية بصورة كاملة يتطلب تنفيذ خطوات إضافية يدويًا بواسطة مسؤولي الأنظمة. وقد يؤدي عدم استكمال هذه الإجراءات إلى استمرار تعرض الأجهزة للخطر، حتى بعد تثبيت التحديث الأمني.
وتتيح هذه الثغرة للمهاجمين تجاوز بعض آليات الحماية المرتبطة بعملية الإقلاع، بما يساعد البرمجية الخبيثة على ترسيخ وجودها داخل الأنظمة المصابة والإفلات من وسائل الكشف التقليدية.
نسخة متطورة من BlackLotus لتعزيز التخفي
بحسب تحقيقات فريق GReAT، تمثل BlackX تطورًا لبرمجية BlackLotus الخبيثة، التي سبق تداولها تجاريًا في أسواق الشبكة المظلمة عام 2022.
وتُصنف برمجيات الإقلاع الخبيثة (Bootkits) ضمن التهديدات السيبرانية المتقدمة، نظرًا لقدرتها على العمل في مراحل مبكرة من تشغيل الجهاز، بما يصعّب اكتشافها وإزالتها مقارنة بالبرمجيات الخبيثة التقليدية.
ووفقًا لكاسبرسكي، نشر المهاجمون BlackX بعد اختراق الشبكات الداخلية والحصول على صلاحيات المسؤول في أجهزة ويندوز المستهدفة، مستخدمين ملفات مشفرة وبرامج تثبيت مصممة خصيصًا لتقليل فرص اكتشاف مكونات الهجوم.
كاسبرسكي تحبط محاولات تعطيل الحماية الأمنية
كشفت الشركة أن BlackX تتضمن مكونًا يستهدف تعطيل برامج الحماية الأمنية، بما يمهد الطريق أمام المهاجمين لتنفيذ مراحل إضافية من الهجوم.
إلا أن حلول كاسبرسكي لحماية النقاط الطرفية تمكنت من صد محاولات البرمجية لتعطيلها، ما أدى إلى إحباط الهجوم المرصود.
وأشارت الشركة إلى أن نجاح المهاجمين في تجاوز هذه الحماية كان من الممكن أن يمهد الطريق لتشغيل برمجيات تجسس تستهدف سرقة المعلومات السرية ومراقبة أنشطة الضحايا.
وكانت الخطة المحتملة تتضمن الاستفادة من خدمات تخزين سحابية مشروعة، مثل Google Drive وOneDrive وYandex Disk، لتسهيل نقل البيانات المسروقة أو دعم أنشطة التجسس، بما يجعل التمييز بين النشاط الخبيث والاستخدام الطبيعي للخدمات أكثر صعوبة.
كاسبرسكي: الهجمات المتقدمة تستفيد من أدوات الجريمة السيبرانية
قال جورجي كوتشيرين، الخبير الأمني في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن ظهور BlackX يمثل تطورًا لافتًا، إذ إن مجموعات الهجمات المتقدمة المستمرة لا تلجأ كثيرًا إلى استعارة الشيفرات البرمجية أو المفاهيم من أدوات الجريمة السيبرانية التجارية.
وأوضح أن تعديل أداة خبيثة مثل BlackLotus أتاح للمهاجمين تطوير قدراتهم على تجاوز إجراءات حماية الإقلاع في نظام ويندوز، مؤكدًا أن الجهات المتقدمة في الهجمات السيبرانية ليست مضطرة دائمًا إلى ابتكار أدوات جديدة لتحقيق وجود مستمر وخفي داخل الشبكات المستهدفة.
ويبرز هذا التطور أهمية متابعة التهديدات التي تجمع بين تقنيات الهجوم المتقدمة والأدوات الخبيثة المتداولة تجاريًا، خصوصًا عند استهداف المؤسسات التي تتعامل مع بيانات حساسة.
توصيات لحماية المؤسسات من برمجية BlackX
دعت كاسبرسكي المؤسسات إلى مراجعة إجراءات حماية أنظمتها والتأكد من استكمال متطلبات معالجة ثغرة Baton Drop، وعدم الاكتفاء بتثبيت التحديثات الأمنية دون تنفيذ خطوات التهيئة اليدوية التي توصي بها مايكروسوفت.
وتشمل أبرز التوصيات الأمنية:
- استكمال التحديثات الأمنية: التحقق من تنفيذ جميع خطوات المعالجة والتهيئة المطلوبة لتفعيل الحماية من ثغرة Baton Drop.
- تقييد صلاحيات المسؤولين: الحد من استخدام حسابات المديرين، ومنح الامتيازات الإدارية عند الحاجة فقط.
- مراقبة سلامة البرامج الثابتة: استخدام حلول أمنية قادرة على اكتشاف التغييرات غير المصرح بها في مكونات البرامج الثابتة وآليات الإقلاع.
- تعزيز حماية الأجهزة الطرفية: نشر حلول أمنية قادرة على رصد محاولات استغلال الثغرات وتعطيل برامج الحماية.
- مراجعة الأنشطة السحابية: مراقبة الاستخدام غير المعتاد لخدمات التخزين السحابي، خصوصًا عند التعامل مع بيانات مؤسسية حساسة.
وأكدت الشركة أن مكون منع الاستغلال في حلول حماية النقاط الطرفية لديها يمكنه حظر محاولات الاستغلال حتى في حال عدم تطبيق التحديث الأمني، أو عند وجود ثغرات يوم صفر لم تصدر لها تحديثات بعد.
وتسلط واقعة BlackX الضوء على أهمية الجمع بين تحديث الأنظمة واستكمال إعدادات الحماية ومراقبة سلامة عملية الإقلاع، في ظل تطور الهجمات السيبرانية التي تستهدف المؤسسات الدبلوماسية والجهات ذات القيمة الاستراتيجية.
