要点
- Kaspersky の報告によると、「BlackX」という攻撃の道具が、Windows の更新を全部当てた PC に、Windows が立ち上がる前の段階から入り込んでいた。
- 2022年に直された古い欠陥が使われた。Microsoft の対策のうち、仕上げの一手（古い証明書を「信じない」と登録すること）は自動では入らず、管理者が自分で有効にしないと効かない。
- Kaspersky が報告した標的は中央アジアの外交機関だが、仕上げを有効にしていない Windows の PC は、同じやり方の対象になりうる。
何が起きたか
ロシアのセキュリティ会社 Kaspersky の研究チームが、2026年10月22日に Securelist で報告を出した。それによると、2026年の初めに、タジキスタン、ウズベキスタン、トルクメニスタンの外交機関で「BlackX」が見つかった。
BlackX は UEFI ブートキットである。UEFI は、PC の電源を入れてから Windows が動き出すまでを受け持つ仕組みだ。ブートキットは、そこに入り込む攻撃の道具を指す。Windows より先に動くので、ウイルス対策ソフトから隠れやすい。
本来は Secure Boot（電源を入れたとき、署名で信頼できると確かめたプログラムだけを動かす仕組み）がこれを防ぐ。BlackX は、2022年に Microsoft が直した欠陥「Baton Drop」（CVE-2022-21894）を使って、この守りをすり抜けた。
ここで大事なのは、被害に遭った PC が更新を全部当てていたことだ。Kaspersky はそれを確かめている。欠陥を持つ古い起動プログラムは、「Windows Production PCA 2011」という証明書で署名されている。この証明書を「もう信じない」と PC に登録しないかぎり、攻撃者は古いプログラムを持ち込んで動かせる。その登録が、更新を当てるだけでは入らない。管理者が自分で有効にする必要がある。
Kaspersky によると、BlackX は Windows に悪いドライバー（OS の中心で動く部品）を入れる。そのドライバーは、セキュリティ製品の見張りの仕組みを止め、記録を読めなくする。あとから入れられる部品の一つは遠隔操作の道具（RAT）で、Google Drive、OneDrive、Yandex.Disk といったクラウドの保存場所を通じて攻撃者とやりとりする。
攻撃者は、先に組織のネットワークに入り込み、管理者の権限を得てから BlackX を入れていた。BlackX は入口ではなく、居座り続けるための道具である。Kaspersky は、中国系とされる攻撃集団 APT41 の仕業と、中くらいの確からしさで見ている。
日本の利用者への影響
Windows は日本でも広く使われている。ただ、Kaspersky の報告に日本の被害や日本の組織の話は出てこない。日本で被害があったかは分からない。
それでも、仕上げの失効を有効にしていない PC は、日本でも多いと考えられる。組織の管理者が手で設定しない限り、有効にならないからだ。管理者の権限を奪われたあとの話ではある。とはいえ、一度入り込まれると、OS を入れ直しても残るおそれがある。
今すぐやること
- Secure Boot が「オン」かを確かめる。 オフなら、そもそもこの守りが働いていない。確かめ方の一例は「技術者向けの詳細」に載せた。
- 会社の PC は、情報システムの担当に失効の設定を確かめてもらう。 Microsoft の案内（KB5025885）にある、古い証明書を信じなくする手順が終わっているかを見る。
- 失効を入れる前に、回復の用意をする。 Microsoft は、古い回復用の USB やネットワークから起動できなくなること、BitLocker（ディスクの暗号化）の回復キーを求められることがあると注意している。回復キーを控え、まず一部の PC で試す。
- 全部の PC にセキュリティ製品を入れ、警告を見張る。 Kaspersky は、組織のすべての PC にセキュリティ製品を入れ、出てくる警告を絶えず見張ることが大事だとしている。
- 管理者の権限を守る。 BlackX は管理者の権限を奪ったあとに入れられた。管理者のアカウントを減らし、不審なログインを見張ることが、最初の防ぎになる。
背景
Baton Drop は、2023年に ESET が報告したブートキット「BlackLotus」でも使われた。BlackLotus は、2022年に闇のフォーラムで 5,000ドルで売られていたものだ。Kaspersky は、BlackX の攻撃の部分は BlackLotus によく似ているとしている。Kaspersky は BlackLotus のソースコードは公開されていないと見ていて、攻撃者が BlackLotus を解析したか、コードを買った可能性があるという。一方で BleepingComputer は、BlackLotus のソースコードが2023年7月に、不完全な形で流出したと報じている。
Microsoft は2023年から対策を段階的に出してきた。ただ、古い証明書を信じなくする仕上げは、今も「既定では有効でない」と案内している。全部の PC に自動で入れる「Enforcement Phase」も予定にある。しかし、KB5025885 には「2026年1月より前には始めない」とあるだけで、日付は決まっていない。
分かりにくさは、もう一つある。2026年には、Secure Boot の古い証明書の期限切れに合わせて、Microsoft が新しい証明書を多くの PC に自動で配っている。これを見て、もう守られていると受け取った人もいたかもしれない。しかし、新しい証明書を入れることと、古い証明書を信じなくすることは別だ。Windows Production PCA 2011 は2026年10月19日に期限が切れた。それでも Kaspersky は、失効の一覧に入れないかぎり、古いプログラムは動いてしまうと指摘している。さらに Kaspersky は、Microsoft の手順が「サイトの奥深くに埋もれている」とも書いている。
技術者向けの詳細
- 使われた欠陥: CVE-2022-21894（Baton Drop）。Kaspersky によると、これで独自の MOK（Machine Owner Key）を入れ、任意の EFI ファイルを読み込ませる。
- 対策の本体: CVE-2023-24932 向けの KB5025885。順番は、DB に Windows UEFI CA 2023 を追加 → 2023 署名の Boot Manager に置き換え → DBX に Windows Production PCA 2011 を追加 → （任意で）SVN の更新。KB によると、set-securebootuefi を使って手作業で DBX を当てるとき、DB を先に更新していないと起動しなくなる。Windows Update で当てる場合は、DB の更新が済むまで DBX は適用されない。
- 有効にする方法:
HKLM\SYSTEM\CurrentControlSet\Control\SecureBootのAvailableUpdatesに値を入れ、スケジュールされたタスク\Microsoft\Windows\PI\Secure-Boot-Updateで反映する。値と手順は KB5025885 のとおりにする。 - 状態の確かめ方（管理者の PowerShell）:
# Secure Boot が有効か
Confirm-SecureBootUEFI
# DB に 2023 の証明書があるか
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
# DBX に PCA 2011 が入っているか（True なら失効済み）
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'
- イベントログ（System）の成功の印: 1036（DB に PCA2023 を追加）、1799（2023 署名の Boot Manager を適用）、1037（DBX で PCA2011 を失効）、1042（SVN を適用）。
- 影響の出やすいところ: 更新していない回復メディア、USB の起動メディア、PXE/WDS/HTTP のネットワーク起動。ファームウェアが更新を処理できない機種もある。先に OEM の最新ファームウェアを当て、BitLocker の回復キーを控えておく。
- Kaspersky が挙げた侵入の跡の種類: 署名に使われたコード署名証明書（Wenjiang District Mingyu Network Technology Service Studio 名義。すでに失効）、名前を変えた正規の実行ファイル（
googleupdate.exe。元はjcef_helper.exe）による DLL サイドローディング、OLLVM で難読化した OxiDLLRunner、Rust のペイロード、クラウドを使った C2、ペイロードにある識別子 “xdd”。ハッシュとドメインは Securelist の報告を参照。 - 侵入のあとの動き: カーネルドライバーで、プロセス・スレッド・レジストリのコールバックを外し、ETW プロバイダーを改ざんする。自分のファイルを開かれると
calc.exeのハンドルを返して隠す。 - 調べ方の参考: Microsoft の BlackLotus（CVE-2022-21894）調査ガイド、Tech Community の「Revoking vulnerable Windows boot managers」。
