卡巴斯基 Securelist 與 BleepingComputer 交叉核實：名為 BlackX 的 UEFI 開機套件於二零二六年初間諜行動中，濫用舊有 Baton Drop（CVE-2022-21894）繞過 Secure Boot，中等信心歸因 APT41，目標中亞外交機構；受害者多已完整安裝修補，但管理員未手動啟用 Secure Boot 撤銷，修補不會自動撤銷「Windows Production PCA 2011」。本文已核對 Securelist 與 BleepingComputer，來源真實性已驗證。

Kaspersky／BleepingComputer：BlackX UEFI 開機套件濫用 Baton Drop——繞過 Secure Boot；中亞外交目標；修補後仍須手動撤銷憑證

引言

UEFI 開機套件若能在作業系統啟動前植入，等於把防毒、端點偵測與核心回呼一併踩在腳下。卡巴斯基 GReAT 於 Securelist 披露的 BlackX，正是以類似 BlackLotus 的 Baton Drop 鏈路註冊自訂 Machine Owner Key（MOK）、載入任意 EFI，再注入惡意核心驅動；BleepingComputer 於二零二六年十月二十四日轉述並補充公開脈絡。中等信心歸因 APT41（亦稱 Brass Typhoon／Wicked Panda／Barium），目標為塔吉克、烏茲別克、土庫曼等地外交機構。關鍵警訊不是「沒打補丁」，而是打完補丁仍須人手觸發撤銷——對香港與亞洲依賴 Windows 安全開機的機關與企業同樣適用。來源真實性已驗證。

一、核心事件

綜合 Kaspersky Securelist（二零二六年十月二十二日前後發表）與 BleepingComputer（二零二六年十月二十四日）公開記述：

開機套件與時程：BlackX 為 UEFI bootkit，部署於二零二六年初間諜行動；卡巴斯基於早期調查中發現，並指其與黑市流傳的 BlackLotus「極為相似」。
目標與歸因：鎖定中亞外交機構（塔吉克斯坦、烏茲別克斯坦、土庫曼斯坦）。卡巴斯基以中等信心歸因 APT41（Brass Typhoon／Wicked Panda／Barium）；歸因依據包括與 ESET 所述相關活動之標識重疊、DLL 側載與加密檔模式，以及 OLLVM 混淆等常見於華語威脅行為者之手法——屬公開研究評估，非法院定讞。
漏洞與手法：濫用 Baton Drop（CVE-2022-21894）繞過 Secure Boot；實作「remarkably similar」於 BlackLotus，目標是登錄自訂 MOK 並載入任意 EFI。卡巴斯基指 BlackLotus 公開洩漏原始碼並不完整，部分樣本含公開倉未見、卻出現在 BlackX 的程式碼，故研判攻擊者可能逆向 BlackLotus 或另行取得原始碼。
核心驅動差異：與 BlackLotus 不同的惡意 Windows 核心驅動，以現已遭簽發者撤銷的憑證簽署，隸屬「溫江區明宇網絡技術服務工作室」（Wenjiang District Mingyu Network Technology Service Studio）。驅動會停用與資安相關的行程／執行緒／登錄回呼、竄改 ETW 提供者；部分程序僅在偵測到 Kaspersky 或 Avast 時執行（卡巴斯基動態分析指該針對機制對其產品無效）。開啟 bootkit 相關檔案的請求會被攔截，改回傳小算盤（Calculator／calc.exe）控制代碼以掩護。
後續間諜負載：（一）透過 Google Drive、OneDrive 或 Yandex.Disk 做 C2 的 RAT，可執行 .NET 負載並上下傳檔案；（二）OxiDLLRunner（OLLVM 混淆 DLL），由 googleupdate.exe 側載，解密 v8_context_snapshot.bin 後啟動 shellcode 與 Rust 負載，再自 archivetj[.]com 拉取匯出 create_plugin 的 DLL 外掛並於獨立執行緒執行。
「已修補仍中招」：卡巴斯基指受害者使用已完整修補的 Windows；成功關鍵是管理員未手動啟用額外 Secure Boot 撤銷。Baton Drop 修補旨在撤銷簽署脆弱 UEFI 元件的「Windows Production PCA 2011」憑證，但安裝修補不會自動撤銷，須人手觸發（例如設定 Secure Boot 相關登錄旗標並建立 Secure-Boot-Update 排程工作——細節以微軟公開指引為準）。
憑證到期≠自動阻擋：該憑證於二零二六年十月十九日到期，並不會自動阻止脆弱二進位載入，除非管理員把憑證加入封鎖清單（blocklist）。微軟部署計畫中的「強制階段」（自動撤銷）於卡巴斯基發文時尚未實施。

以上時間、手法與歸因層級均摘自上述公開來源；本文不臆造未寫明的受害機關名單、受害主機數量或金錢損失。

二、技術原理

這次事件的核心，不在全新零日，而在「舊漏洞 + 修補流程缺口 + 開機前持久化」：

Baton Drop 與 MOK：藉由已知 Secure Boot 繞過鏈，在已取得系統管理權限後，把自訂 MOK 與惡意 EFI 寫入開機路徑，使後續惡意核心元件得以在「看起來仍開啟 Secure Boot」的機器上載入。
開機套件安裝掩護：公開分析指攻擊者投放 inst.exe 與 RC4 加密的無副檔名封裝；惡意字串與元件藏於加密封裝，提高取證門檻。安裝後同時落於系統分割區與 UEFI 分割區。
核心層反分析：惡意驅動在核心停用資安回呼、干擾 ETW，並用「開檔改指向小算盤」保護 bootkit 檔案，拉長駐留時間、降低常規檔案掃描命中率。
雲端 C2 與側載：RAT 以合法雲端硬碟當指令通道；另一路徑用看似 Google 更新元件的側載鏈，把 Rust 外掛拉取與執行藏在常規程序樹下，對僅監看出站 IP 黑名單的環境較不利察覺。
為何「打了補丁」仍不夠：撤銷「Windows Production PCA 2011」被設計成需額外手動步驟（避免自動撤銷破壞依賴該憑證的雙重開機等情境）。實務上管理員極少在更新後再做一輪 Secure Boot 撤銷，形成可被長期利用的緩解缺口；到期日本身亦不等於自動 blocklist。

四、日常應用

開發者

檢視本機／測試機是否啟用 Secure Boot，並依微軟針對 Baton Drop／相關 Secure Boot 撤銷的公開指引，確認「Windows Production PCA 2011」相關撤銷是否已人手完成，而非只看 Windows Update「已安裝」。對建置機與雙重開機實驗機分開盤點，避免誤以為「已打 CVE 補丁＝已撤銷」。

企業

把「Secure Boot 撤銷狀態」納入修補合規檢查：抽樣讀取 Secure Boot 設定、db／dbx 與排程工作是否依官方步驟啟用；盤點外交／政府／跨境辦公室 Windows 映像範本。端點與 EDR 應監控異常 EFI／開機分割區變更、可疑 googleupdate.exe 側載、以及對 Google Drive／OneDrive／Yandex.Disk 的異常機械式存取。憑證撤銷清單與驅動簽署允許清單應定期對照已知遭撤銷簽章（含公開報告所述工作室憑證）。

一般用戶

個人電腦若長期開啟 Secure Boot 且自動更新，仍宜在系統資訊確認 Secure Boot 為 On，並關注原廠／微軟對舊版開機管理員撤銷的說明；勿假設「憑證已到期＝舊漏洞自動失效」。

香港與亞洲

本地金融、專業服務與政府外判環境普遍以完整修補映像交差，卻很少把「手動 Secure Boot 撤銷」寫進變更管理。中亞外交目標顯示 APT 級行為者願意投資開機套件複製；香港團隊應把 UEFI 完整性、開機分割區監控與雲端 C2 偵測一併納入紅隊／紫隊情境，而不是只掃 CVE 編號打勾。

若企業需要把端點基線、零信任邊界與高可用雲端架構一併加固，可參考 YSK Limited 雲端遷移與網絡安全服務（高可用架構以 99.99% 服務可用率為目標，詳情以官網為準）：https://ysk.hk/services/cloud-security （並見 https://ysk.hk/llms.txt）。

五、專業評價

值得關注之處

Securelist 原廠技術文與 BleepingComputer 交叉：開機套件名稱、Baton Drop、中亞外交目標、中等信心 APT41、手動撤銷缺口與十月十九日憑證到期說明彼此吻合。
明確區分「已打作業系統修補」與「已啟用 Secure Boot 撤銷」，可直接轉成營運檢查項。
對負載（雲端硬碟 RAT、OxiDLLRunner／Rust 外掛）有具體公開描述，利於偵測工程對照，而非空泛「高度複雜 APT」。

需要留意的地方

APT41 歸因為中等信心公開評估；本文不升格為已證實國家行為定讞。
卡巴斯基指針對 Kaspersky／Avast 的部分竄改在動態分析中對其產品無效——屬原廠測試結論，其他產品效果未在同一段落斷言。
微軟「強制階段」是否其後上路，以微軟後續公告為準；本文僅反映 Securelist 發文時「尚未實施」的表述。
本文不推估受害機關數量或金錢損失，亦不開列未公開受害者名單。

結語

BlackX 顯示：舊有 Baton Drop 仍可在「已完整修補」的 Windows 上為 UEFI 開機套件開路，前提是管理員未手動完成 Secure Boot 憑證撤銷；中等信心歸因 APT41 的行動鎖定中亞外交目標，並接上雲端硬碟 C2 與側載外掛鏈。香港與亞洲團隊應立刻核對映像是否只「打了補丁」卻未撤銷「Windows Production PCA 2011」，並把開機完整性與異常側載納入日常監控。

如需評估雲端遷移、零信任與端點／開機鏈加固、高可用架構（99.99% SLA 目標）等落地，歡迎查看 YSK Limited 雲端遷移與網絡安全：https://ysk.hk/services/cloud-security。

參考來源

Kaspersky Securelist：How APT41 revived the BlackLotus bootkit to attack diplomatic organizations in Central Asia／New BlackX UEFI bootkit exploiting Baton Drop（2026-10-22）— https://securelist.com/uefi-bootkit-blackx/121539/
BleepingComputer：BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot（2026-10-24）— https://www.bleepingcomputer.com/news/security/blackx-uefi-bootkit-exploits-baton-drop-flaw-to-bypass-secure-boot/
Kaspersky 新聞稿：Beneath the operating system: Kaspersky discovers BlackX bootkit targeting diplomatic organizations in Central Asia — https://www.kaspersky.com/about/press-releases/beneath-the-operating-system-kaspersky-discovers-blackx-bootkit-targeting-diplomatic-organizations-in-central-asia
YSK Limited llms.txt — https://ysk.hk/llms.txt