Secure Boot: bootkit BlackX ominął załatane Windowsy

Bootkit BlackX zainstalował się na w pełni załatanych komputerach z Windowsem, bo poprawka na wykorzystaną dziurę w Secure Boot działa dopiero po ręcznym unieważnieniu starego certyfikatu Microsoftu. Dla działu IT oznacza to, że sam komplet aktualizacji nie chroni przed tą metodą ataku. Opisali to badacze Kaspersky w raporcie z 22 października 2026 roku. Ofiarami były agencje dyplomatyczne w Tadżykistanie, Uzbekistanie i Turkmenistanie. Atak Kaspersky przypisuje grupie APT41 ze średnią pewnością. Bootkit trafiał na komputery dopiero wtedy, gdy napastnicy mieli już dostęp do sieci ofiary i uprawnienia administratora. Stan raportu i dokumentacji Microsoftu na 24 października 2026 roku, godz. 21:00.

Czym jest Secure Boot i co tu nie zadziałało

Secure Boot, po polsku bezpieczny rozruch, to funkcja oprogramowania układowego UEFI, która przy starcie komputera wpuszcza tylko programy podpisane zaufanym certyfikatem. Microsoft wprowadził jej obsługę w Windows 8, żeby blokować bootkity, czyli złośliwe programy uruchamiane jeszcze przed systemem. Tak opisuje to strona Microsoftu o wygasaniu certyfikatów bezpiecznego rozruchu.

Zaufane certyfikaty leżą w pamięci płyty głównej, w bazie DB. Obok jest baza DBX, czyli lista zakazanych podpisów. Menedżer rozruchu Windows przez lata był podpisywany certyfikatem “Microsoft Windows Production PCA 2011”. Stare, podatne wersje tego programu mają więc ten sam ważny podpis co wersje poprawione.

Firmware wpuszcza je, dopóki certyfikat PCA 2011 nie trafi do bazy DBX. Tego wpisu Windows nie robi sam po instalacji aktualizacji. Napastnik z uprawnieniami administratora może więc podłożyć starą wersję menedżera rozruchu i wykorzystać jej lukę. Firmware uzna ją za zaufaną.

Jak działał atak BlackX

BlackX korzysta z luki Baton Drop (CVE-2022-21894), którą Microsoft opublikował w styczniu 2022 roku. Ta sama luka była sercem BlackLotus, bootkitu sprzedawanego od jesieni 2022 roku na forum przestępców. Według Kaspersky implementacja exploita w BlackX jest “niezwykle podobna” do BlackLotus, choć kodu BlackLotus nigdy nie opublikowano. Badacze zakładają więc, że napastnicy odtworzyli go sami albo kupili od przestępców.

Atak przebiegał według raportu tak:

1. Napastnicy przejmowali sieć ofiary i uprawnienia administratora.
2. Uruchamiali instalator inst.exe z folderu C:\ProgramData\Intel z zaszyfrowanym plikiem, w którym były wszystkie składniki bootkitu.
3. Instalator zapisywał pliki na partycji systemowej i partycji UEFI, a exploit Baton Drop dodawał własne klucze MOK (Machine Owner Key). To pozwalało ładować przy starcie dowolne pliki EFI.
4. Bootkit wstrzykiwał do jądra Windows sterownik podpisany unieważnionym już certyfikatem chińskiej firmy. Sterownik wyłączał mechanizmy, przez które programy zabezpieczające obserwują system, a przy próbie otwarcia plików bootkita podsuwał Kalkulator.
5. Na końcu sterownik uruchamiał narzędzia szpiegowskie: zdalny dostęp sterowany przez Google Drive, OneDrive albo Yandex.Disk oraz program OxiDLLRunner.

Microsoft pisze w dokumencie KB5025885 to samo o BlackLotus: atak wymaga uprawnień administratora albo fizycznego dostępu do komputera. Bootkit służy więc do utrzymania się na maszynie, którą napastnik już kontroluje.

Pierwsza Misja AI · Kodożercy

AI zmienia rynek pracy. Zacznij rozumieć, o co chodzi.

Kurs Pierwsza Misja AI to najkrótszy kurs, po którym naprawdę rozumiesz AI, a na koniec możesz to pokazać certyfikatem. Fabuła w konwencji science fiction i gamifikacja sprawiają, że nie nudzisz się ani minuty.

Dołącz do kursantów →

Dlaczego poprawka Microsoftu nie włącza się sama

Microsoft zostawił unieważnienie certyfikatu PCA 2011 do ręcznego włączenia, bo ten krok może unieruchomić komputer. Według Kaspersky automat mógłby zepsuć konfiguracje z dwoma systemami, które do startu potrzebują starego certyfikatu. Microsoft wymienia w KB5025885 kolejne ryzyka. Komputer może nie wystartować ze starych nośników odzyskiwania, a część urządzeń wejdzie w tryb odzyskiwania BitLockera. Niektóre płyty główne nie przyjmą też zmian w bazach DB i DBX.

Po włączeniu zmiany nie da się wycofać, dopóki bezpieczny rozruch jest włączony. Nie usunie jej nawet sformatowanie dysku. Poprawki są w aktualizacjach od 9 lipca 2024 roku, ale Microsoft pisze wprost, że nie są domyślnie włączone.

Kaspersky zwraca uwagę na praktykę. Administrator zwykle niczego nie robi po instalacji aktualizacji, jeśli nie wyskoczył błąd, a instrukcje włączenia poprawki są według badaczy “głęboko ukryte” na stronach Microsoftu. Firma ocenia, że niewiele organizacji je wykonało, ale liczb nie podaje.

Rozjazd numerów ma proste wyjaśnienie. Kaspersky pisze o łatce na Baton Drop, a Microsoft opisuje procedurę na stronie CVE-2023-24932, czyli obejścia bezpiecznego rozruchu wykorzystywanego przez BlackLotus. W obu przypadkach chodzi o ten sam łańcuch poprawek menedżera rozruchu, który domyka dopiero wpis PCA 2011 do bazy DBX.

Certyfikat PCA 2011 wygasł 19 października. Dlaczego to nie wystarcza

Wygaśnięcie certyfikatu nie zablokowało starych menedżerów rozruchu. Według Kaspersky podatne pliki nadal się ładują, dopóki certyfikat nie trafi na listę zakazanych. Microsoft podaje w tabeli wygasających certyfikatów datę 19 października 2026 roku dla “Microsoft Windows Production PCA 2011” i wskazuje następcę: “Windows UEFI CA 2023”.

Automatyczne unieważnienie ma przyjść w fazie egzekwowania. Microsoft rozpisał wdrażanie poprawki na etapy:

Microsoft obiecuje w KB5025885, że uprzedzi o fazie egzekwowania w tym dokumencie co najmniej sześć miesięcy wcześniej. Na 24 października 2026 roku takiej zapowiedzi nie ma, więc automatyczne unieważnienie nie przyjdzie wcześniej niż za pół roku. Do tego czasu zabezpieczenie zależy od administratora.

Jak włączyć unieważnienie w firmie: procedura Microsoftu

Unieważnienie włącza się w trzech obowiązkowych krokach z KB5025885, a Microsoft każe najpierw sprawdzić je na jednym urządzeniu z każdej klasy sprzętu. Szerokie wdrożenie przychodzi dopiero po teście wszystkich klas. Przed startem trzeba zrobić trzy rzeczy:

• zainstalować najnowsze comiesięczne aktualizacje Windows,
• zapisać klucz odzyskiwania BitLockera; Microsoft podaje polecenie manage-bde -protectors -get %systemdrive% w wierszu poleceń administratora,
• przy komputerach z kilkoma Windowsami zaktualizować każdy z nich do poprawek z 9 lipca 2024 roku lub nowszych, bo po unieważnieniu starsza instalacja może się nie uruchomić.

Microsoft wymienia też urządzenia ze znanymi problemami. Komputery HP z Sure Start potrzebują najnowszego firmware’u, a maszyny wirtualne VMware z włączonym bezpiecznym rozruchem nie uruchomią się po zmianie. Poprawki nie da się też zastosować przy szyfrowaniu Symantec Endpoint Encryption. Na urządzeniach Arm64 z firmware’em Qualcomma Windows blokuje ją do czasu poprawki producenta.

Polecenia z dokumentu wpisuje się w PowerShellu uruchomionym jako administrator. Sprawdzenia po każdym kroku są tylko do odczytu.

1. Dodaj certyfikaty 2023 do bazy DB i zainstaluj menedżer rozruchu podpisany nowym certyfikatem: reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f, potem Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update". Sprawdzenie: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' ma zwrócić True. Na części komputerów ten krok wykonała już zwykła aktualizacja.
2. Sprawdź, czy certyfikaty i nowy menedżer rozruchu są na miejscu: (Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing").UEFICA2023Status ma zwrócić Updated.
3. Przygotuj pendrive odzyskiwania zgodnie z sekcją “Updating Windows install media” w KB5025885, a potem unieważnij certyfikat PCA 2011: reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f i ponownie Start-ScheduledTask z kroku 1. Sprawdzenie: zdarzenie 1037 w dzienniku albo [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011', które ma zwrócić True.

Microsoft opisuje też opcjonalny krok 4, czyli zapis numeru wersji menedżera rozruchu (SVN) w firmware, oraz procedurę ratunkową dla komputera, który przestał się uruchamiać.

Jak sprawdzić, czy Secure Boot jest włączony w Windows 11

Stan bezpiecznego rozruchu sprawdzisz w narzędziu Informacje o systemie. Kroki z polskiej strony pomocy Microsoftu:

1. Naciśnij klawisz Windows + R.
2. Wpisz msinfo32 i naciśnij Enter.
3. W oknie Informacje o systemie znajdź stan bezpiecznego rozruchu. Wartość “Włączone” oznacza, że funkcja działa.

Od kwietnia 2026 roku więcej pokazuje też aplikacja Zabezpieczenia Windows, w sekcji Zabezpieczenia urządzenia > Bezpieczny rozruch. Zielona ikona z opisem o zastosowanych aktualizacjach certyfikatów oznacza, że komputer ma certyfikaty z 2023 roku i nowy menedżer rozruchu. Według strony pomocy KB5087130 status dotyczy aktualizacji certyfikatów, a o wpisie PCA 2011 do bazy DBX nic nie mówi.

Ten wpis sprawdzisz poleceniem z kroku 3 powyżej, uruchomionym w PowerShellu jako administrator. Samo sprawdzenie niczego nie zmienia. Wynik False oznacza, że unieważnienie nie jest włączone, czyli komputer jest w stanie domyślnym.

Jeśli funkcja jest wyłączona, włączysz ją w ustawieniach UEFI. Microsoft prowadzi tam przez Ustawienia > System > Odzyskiwanie > Uruchom ponownie teraz, a potem Rozwiązywanie problemów > Opcje zaawansowane > Ustawienia oprogramowania układowego UEFI. Klawisze wejścia do ustawień u różnych producentów opisaliśmy w poradniku jak wejść do BIOS-u.

Czy domowy komputer jest zagrożony

Raport nie opisuje ataków na komputery domowe ani ofiar poza Azją Centralną. BlackX instalowano na wybranych maszynach w sieciach instytucji, do których napastnicy mieli już dostęp administratora. Dla domowego użytkownika ważniejsze jest więc, żeby nikt takiego dostępu nie zdobył: aktualizacje, konto bez uprawnień administratora na co dzień i programy tylko z pewnych źródeł.

Bezpieczny rozruch zostaw włączony. Microsoft pisze, że jego wyłączenie naraża komputer na bootkity.

Ręczne unieważnienie PCA 2011 w domu ma sens tylko wtedy, gdy masz aktualny pendrive odzyskiwania i zapisany klucz BitLockera. Krok jest nieodwracalny. Komputer z dwoma systemami i stare nośniki instalacyjne mogą sprawić po nim problemy. Bez nośnika odzyskiwania i klucza BitLockera nie włączaj unieważnienia ręcznie. Utrzymuj system aktualny i czekaj na komunikat Microsoftu o fazie egzekwowania. Pilnuj też comiesięcznych aktualizacji, o których piszemy przy każdym Patch Tuesday.

Wygasające certyfikaty Microsoftu to zresztą seria. W 2027 roku wygasają certyfikaty samej usługi aktualizacji, co opisaliśmy w tekście o certyfikatach Windows Update w 2027 roku.

FAQ

Czy po wygaśnięciu certyfikatu PCA 2011 komputer przestanie się uruchamiać?

Nie. Microsoft pisze, że urządzenia bez nowych certyfikatów z 2023 roku nadal startują i działają normalnie, a zwykłe aktualizacje Windows nadal się instalują. Takie komputery przestają jednak dostawać nowe zabezpieczenia procesu rozruchu, w tym aktualizacje menedżera rozruchu i list zakazanych podpisów.

Czy BlackX atakował komputery w Polsce?

Raport Kaspersky opisuje wyłącznie ofiary w Tadżykistanie, Uzbekistanie i Turkmenistanie. O atakach w Polsce ani w innych krajach Unii Europejskiej nic w nim nie ma. W polskich firmach działa natomiast ten sam mechanizm: po zainstalowaniu aktualizacji unieważnienie PCA 2011 nie włącza się domyślnie.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Podsumowanie

Kaspersky opisał 22 października 2026 roku bootkit BlackX, który instalował się na w pełni załatanych Windowsach agencji dyplomatycznych w Azji Centralnej. Atak przypisuje grupie APT41 ze średnią pewnością. BlackX wykorzystuje lukę Baton Drop tak jak BlackLotus i wymaga wcześniejszych uprawnień administratora. Działa, bo poprawka Microsoftu blokuje stare menedżery rozruchu dopiero po wpisaniu certyfikatu “Windows Production PCA 2011” do bazy DBX, a ten krok trzeba włączyć ręcznie. Certyfikat wygasł 19 października 2026 roku, co niczego nie blokuje, a data automatycznej fazy egzekwowania nie jest znana. Administrator Windows powinien sprawdzić bazę DBX poleceniem z KB5025885 i zaplanować unieważnienie. Zacząć warto od testu na jednym urządzeniu z każdej klasy sprzętu, z przygotowanym nośnikiem odzyskiwania i zapisanym kluczem BitLockera.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.