脅威動向 2026-10-24（土）配信

中亜の外交機関を狙うUEFIブートキット「BlackX」

中央アジアの外交機関を狙う新しいUEFIブートキット「BlackX」が確認されました。BlackLotusの発展版とみられ、Secure Bootの取り消し措置が未適用のWindows環境でCVE-2022-21894を悪用してOS起動前の防御を迂回し、長期的な不正アクセスを維持します。

脅威の概要

BlackXは、UEFIブートキット「BlackLotus」の発展版とみられるマルウェアです。Secure Bootの取り消し措置（証明書のブロックリスト登録など）が未適用のシステムにおいて、CVE-2022-21894を悪用してOS起動前にコードを読み込みます。感染端末ではエンドポイントセキュリティ製品の妨害や、クラウドストレージを用いた遠隔操作・情報窃取が行われます。

主要なTTP

CVE-2022-21894 を悪用した Secure Boot の迂回とOS起動前でのコード実行

管理者権限を利用したインストーラー（inst.exe）および暗号化拡張子の展開

Machine Owner Keys（MOK）のインストールによる任意のEFIファイルの読み込み

証明書を取り消されたドライバを用いたBYOVD攻撃によるエンドポイントセキュリティ製品の妨害

Google Drive、OneDrive、Yandex.Diskを用いたクラウドストレージベースのC2通信

対象となる組織・利用者

Windows端末を運用しており、Secure Bootの取り消し措置（DBX更新など）の適用状況を管理している組織。

推奨される防御アクション

Microsoftが提供するSecure Bootの取り消し措置（Windows Production PCA 2011証明書のSecure Boot UEFI Forbidden List (DBX) への追加など）を手動手順も含めて適用する

CVE-2022-21894 に対するパッチ適用後も取り消し措置が未適用の端末がないか確認する

見覚えのない管理者アカウントの作成や不審なドライバのロードがないか監視する

出典：https://thehackernews.com/2026/10/blackx-uefi-bootkit-bypasses-secure.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →