BlackXがSecure Bootを回避、更新済みWindowsでも起動時の失効設定を確認
Kasperskyは10月22日、中央アジアの外交機関を狙う攻撃で起動処理に潜むブートキットBlackXを確認したと報告した。2026年初めにタジキスタン、ウズベキスタン、トルクメニスタンで観測され、攻撃者はネットワークへ侵入して管理者権限を得た後に導入していた。BlackXはWindowsの起動前に動く仕組みを利用し、悪意あるドライバーの読み込みや遠隔操作につなげる。[1]
BlackXはBlackLotusと似た手法を使い、Baton Dropと呼ばれるCVE-2022-21894を悪用する。研究者は、最新の更新が適用された被害端末でも、脆弱な起動プログラムを信頼対象から外す追加設定が未適用だったと説明した。Windows Production PCA 2011証明書は期限切れ後も、失効リストへ登録されるまで対象の起動プログラムの実行に使われ得る。[1]
企業の端末管理では、更新の配信状況と起動時の信頼設定を分けて点検する必要がある。Microsoftの起動プログラム失効手順は、更新、Secure Bootの証明書データベースと失効データベースの適用、回復メディアの準備を段階的に扱う。機種ごとの試験とBitLockerの回復手段を確保し、適用結果をイベントログで確認してから展開する。侵害が疑われる端末は専門担当へ引き継ぎ、調査と復旧を進める。[2]
担当者が確かめること
- 管理対象のWindows端末で、最新更新に加えてMicrosoft手順のSecure Boot証明書・起動プログラム・失効設定の適用状態を確認する。
- 失効設定の展開前に機種ごとに起動試験を行い、回復・インストールメディアを更新してBitLocker回復キーを利用できる状態にする。
- Windowsのシステムイベントログで、手順に対応する1036・1799・1037・1042を確認し、適用結果と失敗端末を記録する。
- 端末の侵害が疑われる場合は、セキュリティ担当や対応事業者へ連絡し、証拠の保全と調査・復旧の方針を確認する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
