UEFI-Bootkit umgeht Secure Boot auf gepatchten Windows-Systemen

Eine neue Schadsoftware nistet sich tief in Windows-Systemen ein und hebelt zentrale Schutzmechanismen aus. Das UEFI-Bootkit nutzt dafür eine eigentlich behobene Schwachstelle. Administratoren müssen jetzt zwingend manuell eingreifen.

Spionage-Software greift tief an

Bei einer Spionagekampagne gegen diplomatische Einrichtungen in Zentralasien ist Anfang 2026 ein neues UEFI-Bootkit namens BlackX eingesetzt worden. Die Schadsoftware nutzte die bekannte Sicherheitslücke Baton Drop, um den Schutzmechanismus Secure Boot zu umgehen.

So luden die Angreifer einen schädlichen Treiber, der Sicherheitsprogramme von Kaspersky und Avast stören sollte. Ziel war ein dauerhafter, unbemerkter Zugriff auf bereits infizierte Windows-Systeme. Das Programm basiert auf der Schadsoftware BlackLotus, die Ende 2022 für 5000 Dollar (etwa 4463 Euro) im Darknet angeboten wurde. Deren Quellcode tauchte später unvollständig im Netz auf.


Da BlackX auch die dort fehlenden Teile enthält, haben die Entwickler das Original vermutlich per Reverse Engineering rekonstruiert oder den vollständigen Quellcode gekauft. Die Spuren deuten auf die chinesische Gruppierung APT41 hin.

Gefahr trotz Windows-Patch

Nach Angaben des Sicherheitsunternehmens Kaspersky verfügten die angegriffenen Rechner über alle aktuellen Microsoft-Updates. Der Patch für Baton Drop erfordert jedoch manuelle Eingriffe: Administratoren müssen das Zertifikat "Windows Production PCA 2011", mit dem anfällige UEFI-Komponenten signiert sind, selbst auf eine Sperrliste setzen. Weil solche Zusatzschritte nach Updates unüblich sind, blieben viele Netzwerke verwundbar.

Erlangen die Täter in einem Netzwerk Administratorrechte, schleusen sie das Bootkit als verschlüsselte Datei samt Installationsprogramm ein. Der nachgeladene Windows-Treiber nutzt das inzwischen widerrufene Zertifikat einer chinesischen Firma. Sein Versuch, Schutzprogramme zu blockieren, schlug bei Kaspersky-Produkten laut den Analysten fehl.

Zudem schützt der Treiber seine eigenen Dateien vor Zugriffen: Wer sie aufruft, öffnet stattdessen den Windows-Taschenrechner. Infografik Cybercrime: Zunehmende IT-Schwachstellen bedrohen Unternehmen

Cloud-Dienste für Datenklau

Im Benutzermodus installiert der Treiber weitere Spionage-Werkzeuge. Ein Fernzugriffsprogramm empfängt Befehle und überträgt gestohlene Daten unauffällig über die Cloud-Dienste Google Drive, OneDrive und Yandex Disk. Über die mitgelieferte, legitime Programmdatei googleupdate.exe wird außerdem eine schädliche DLL gestartet, die weiteren Schadcode nachlädt.

Das betroffene Microsoft-Zertifikat ist zwar am 19. Oktober 2026 abgelaufen, die anfälligen Dateien lassen sich aber weiterhin ausführen. IT-Abteilungen müssen das Zertifikat daher nach wie vor manuell sperren, um ihre Systeme vor BlackX zu schützen.

Habt ihr in eurem Netzwerk die manuellen Schritte für das Update durchgeführt? Teilt eure Erfahrungen in den Kommentaren!

Download Microsoft Security Essentials - Kostenlose Antivirus-Software Siehe auch: