Ngày 22/10/2026, Kaspersky công bố bootkit BlackX, một mã độc UEFI có thể vượt Secure Boot trên Windows. Điểm đáng lo là các máy bị nhiễm đều đã cài đầy đủ bản vá. Theo Kaspersky, bản vá cho lỗ hổng Baton Drop (CVE-2022-21894) có cơ chế thu hồi chứng chỉ khởi động cũ, nhưng cơ chế này không tự bật. Ngày 23 và 24/10, BleepingComputer cùng nhiều trang bảo mật đưa tin, và câu hỏi được nhắc nhiều nhất là: máy của tôi đã thực sự được bảo vệ chưa?

Tóm tắt nhanh

  • Mã độc: BlackX, bootkit UEFI giống BlackLotus, do Kaspersky GReAT phát hiện từ đầu năm 2026.
  • Lỗ hổng khai thác: Baton Drop CVE-2022-21894.
  • Mục tiêu đã ghi nhận: cơ quan ngoại giao ở Tajikistan, Uzbekistan, Turkmenistan. Kaspersky gắn với APT41 ở mức tin cậy trung bình.
  • Lý do máy đã vá vẫn bị: chưa kích hoạt thu hồi chứng chỉ "Windows Production PCA 2011".
  • Hướng dẫn chính thức: Microsoft KB5025885.

BlackX hoạt động thế nào?

Theo báo cáo trên Securelist, BlackX lợi dụng Baton Drop để cài khóa riêng (Machine Owner Key) của kẻ tấn công. Nhờ đó nó nạp được tệp EFI tùy ý ngay từ lúc máy khởi động, trước cả Windows. Sau khi vượt Secure Boot, BlackX nạp một driver nhân Windows ký bằng chứng chỉ đã bị thu hồi. Driver này can thiệp vào các cơ chế giám sát mà phần mềm bảo mật dựa vào.

Để che giấu, driver trả về tệp calc.exe mỗi khi có chương trình cố mở tệp của bootkit. Kaspersky ghi nhận hai phần mềm gián điệp đi kèm: một trojan điều khiển từ xa dùng Google Drive, OneDrive hoặc Yandex.Disk làm kênh liên lạc, và một DLL được làm rối mã tên là OxiDLLRunner.

Kaspersky cho rằng BlackX được xây dựng từ việc phân tích ngược BlackLotus hoặc từ mã nguồn của nó. BlackLotus là bootkit từng gây chú ý năm 2023 khi vượt được Secure Boot trên Windows 11 đã vá đủ.

Vì sao cập nhật Windows chưa đủ?

Bản vá Baton Drop được thiết kế để thu hồi chứng chỉ "Windows Production PCA 2011", chứng chỉ đã ký các trình khởi động (boot manager) cũ có lỗi. Kaspersky viết: việc thu hồi này "không tự diễn ra khi cài bản vá", người dùng phải tự kích hoạt. Hãng nhận xét rằng "rất hiếm khi quản trị viên làm thêm bước nào sau khi cài bản cập nhật".

Theo trang KB5025885 của Microsoft, quá trình này đang ở giai đoạn triển khai (Deployment Phase). Giai đoạn bắt buộc (Enforcement Phase), khi chứng chỉ bị thu hồi tự động, chưa có ngày cụ thể. Kaspersky cũng lưu ý chứng chỉ PCA 2011 hết hạn ngày 19/10/2026, nhưng hết hạn không ngăn được các trình khởi động có lỗi chạy, trừ khi chứng chỉ được đưa vào danh sách chặn DBX.

Cách kiểm tra trạng thái trên máy Windows

Mở PowerShell bằng quyền Administrator và chạy các lệnh kiểm tra theo KB5025885:

# 1. Chứng chỉ mới Windows UEFI CA 2023 đã có trong DB chưa (mong đợi: True)
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

# 2. Trạng thái cập nhật boot manager (mong đợi: Updated)
(Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing").UEFICA2023Status

# 3. PCA 2011 đã bị đưa vào danh sách chặn DBX chưa (mong đợi: True)
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Lệnh thứ ba trả về False nghĩa là máy chưa thu hồi PCA 2011. Đây chính là trạng thái của các nạn nhân BlackX. Nếu lệnh báo lỗi, có thể máy đang khởi động ở chế độ Legacy BIOS hoặc chưa bật Secure Boot. Kiểm tra bằng Confirm-SecureBootUEFI.

Bật thu hồi: làm đúng thứ tự, đừng vội

Microsoft mô tả các bước dùng giá trị AvailableUpdates trong khóa registry HKLM\SYSTEM\CurrentControlSet\Control\Secureboot, sau đó chạy tác vụ Secure-Boot-Update. Thứ tự là bắt buộc: thêm chứng chỉ 2023 vào DB, cập nhật boot manager, làm lại phương tiện cài đặt và cứu hộ, rồi mới thu hồi PCA 2011. Microsoft cảnh báo một số rủi ro:

Rủi roCách chuẩn bị
Không thể hoàn tác, cài lại Windows cũng không gỡ đượcThử trước trên một máy mỗi dòng thiết bị
USB cài đặt, ổ cứu hộ cũ không khởi động đượcTạo lại phương tiện khởi động mới (USB định dạng FAT32)
Máy hỏi khóa khôi phục BitLockerSao lưu khóa trước: manage-bde -protectors -get %systemdrive%
Một số firmware cập nhật DB, DBX lỗiCập nhật BIOS/UEFI mới nhất từ hãng máy
Máy ảo VMware có Secure Boot có thể không khởi độngKiểm tra trên bản sao máy ảo trước

Với người dùng cá nhân không rành kỹ thuật, nên ưu tiên giữ Windows Update luôn bật và cập nhật BIOS từ hãng máy, rồi chờ Microsoft chuyển sang giai đoạn bắt buộc. Với doanh nghiệp, tổ chức, nhất là đơn vị có dữ liệu nhạy cảm, nên giao bộ phận IT kiểm tra và triển khai theo KB5025885.

Bài học rút ra

BlackX cho thấy "đã cập nhật đầy đủ" chưa chắc đã an toàn. Một số bản vá liên quan tới khởi động và firmware cần thao tác thủ công, vì làm tự động có thể khiến máy không khởi động được. Hãy đọc kỹ ghi chú của các bản vá Secure Boot, và giữ khóa khôi phục BitLocker ở nơi an toàn.

Nguồn tham khảo