BlackX UEFI: Zlonamjerni softver za pokretanje sistema

Zlonamjerni softver za pokretanje sistema BlackX UEFI, koji se sa srednjim stepenom pouzdanosti pripisuje grupi APT41, zaobilazi mehanizam Windows Secure Boot na potpuno ažuriranim sistemima iskorištavanjem ranjivosti Baton Drop (CVE-2022-21894) radi instalacije prilagođenih ključeva vlasnika mašine (MOK), otkriva kompanija Kaspersky. Zlonamjerni akteri primijenili su ovaj napad protiv diplomatskih organizacija koristeći zlonamjerni korisni teret skriven unutar stvarne instalacijske datoteke.

BLACKX UEFI BOOTKIT

Evolucija prijetnji na nivou ugrađenog softvera (eng. firmware) dosegla je kritičnu tačku preokreta pojavom zlonamjernog softvera za pokretanje sistema BlackX UEFI, koji je sa sivih tržišta prešao u aktivne operacije pod državnim pokroviteljstvom. Ovaj prelazak iskorištava propust u modelu povjerenja mehanizma Secure Boot, čime se potkopavaju čak i potpuno ažurirani sistemi.

Ovaj vektor napada djeluje poput tihog parazita u ugrađenom softveru, pri čemu se zlonamjerni kôd ugrađuje unutar šifrovanih zlonamjernih korisnih tereta i iskorištava ranjivost Baton Drop, označenu kao CVE-2022-21894. On izbjegava otkrivanje sve dok ne prepiše redoslijed pokretanja sistema radi učitavanja neovlaštenih EFI modula.

Oslanjanje zlonamjernog softvera za pokretanje sistema BlackX UEFI na ugrožene ključeve vlasnika mašine (eng. machine owner keys – MOK) podsjeća na ranije alate poput BlackLotus. Međutim, BlackX UEFI uvodi nove slojeve prikrivanja putem RC4 šifrovanja i zlonamjernih korisnih tereta zasnovanih na programskom jeziku Rust, čime se forenzička analiza otežava za timove za odgovor na incidente.

Njegova primjena protiv diplomatskih subjekata u regionu Centralna Azija naglašava strateški pomak u kojem grupe za sajber špijunažu pretvaraju komercijalne okvire zlonamjernog softvera u oružje. Na taj način brišu se granice između kriminalnih i državnih zlonamjernih aktera.

Postojanost zlonamjernog softvera za pokretanje sistema BlackX UEFI zavisi od administrativnih propusta, odnosno neuspjeha u opozivanju zastarjelih certifikata. Ovi propusti ostavljaju odbrambene mehanizme funkcije Secure Boot praktično neaktivnim, uprkos potpunoj usaglašenosti sa primjenom ispravki.

 

Iskorištavanje funkcije Secure Boot

Iskorištavanje ranjivosti Baton Drop omogućava zlonamjernom softveru za pokretanje sistema BlackX UEFI da zaobiđe zaštitne mehanizme funkcije Windows Secure Boot instalacijom prilagođenih ključeva vlasnika mašine (MOK). Ovaj proces pokazuje tehnike korištene u ranijem zlonamjernom softveru poput alata BlackLotus, ali uvodi promjene u primjeni, čime se sugeriše prilagođavanje, a ne direktno kopiranje.

Prilagođeni ključevi vlasnika mašine (MOK) djeluju kao most, čime se omogućava da se datoteke EFI pod kontrolom zlonamjernog aktera učitaju tokom faze prije pokretanja sistema, što efektivno zaobilazi predviđena ograničenja funkcije Windows Secure Boot u pogledu izvršavanja nepotpisanog kôda. Ovaj mehanizam oslanja se na upravljanje podešavanjima ugrađenog softvera UEFI, pri čemu se zlonamjerni korisni tereti prihvaćaju kao stvarni.

Upisivanjem ovih ključeva u skladište povjerenja sistema, zlonamjerni softver za pokretanje sistema osigurava da naredne faze njegove primjene, poput ubacivanja potpisanog ugrađenog softvera jezgra, budu prepoznate od strane procesa sigurnog pokretanja. Ovo ugrožava osnovnu svrhu funkcije Windows Secure Boot, koja je osmišljena da blokira izvršavanje neovlaštenog kôda prije pokretanja operativnog sistema Windows.

Zlonamjerni softver za pokretanje sistema BlackX UEFI iskorištava ovaj propust radi održavanja postojanosti čak i na potpuno ažuriranim sistemima, gdje koraci za opozivanje certifikata ostaju nedovršeni. Opozvani digitalni certifikat povezan sa kineskim poslovnim subjektom dodatno otežava napore u otkrivanju.

Iako bi status opoziva certifikata trebao spriječiti njegovu upotrebu, zlonamjerni akteri iskorištavaju propuste u sprovođenju podešavanja funkcije Windows Secure Boot radi učitavanja zlonamjernih ugrađenih softvera potpisanih tim certifikatom. Ovo ističe na koji način administrativni propusti, poput neuspjeha u primjeni neophodnih opoziva, mogu ostaviti sisteme ranjivim uprkos primjeni ispravki za poznate ranjivosti poput CVE-2022-21894.

Oslanjanje zlonamjernog softvera za pokretanje sistema BlackX UEFI na ovakvu nepažnju naglašava potrebu za rigoroznim revizijama sigurnosti na nivou ugrađenog softvera i nadzorom podešavanja skladišta povjerenja u stvarnom vremenu.

 

Zlonamjerni korisni teret i taktike izbjegavanja

Primjena zlonamjernog softvera za pokretanje sistema BlackX UEFI počinje naizgled bezazlenim instalacijskim paketom inst.exe, koji djeluje kao početna tačka ulaza za njegove zlonamjerne komponente. Ovaj izvršni softver sam po sebi ne sadrži nikakve prepoznatljive zlonamjerne nizove ili ugrađene zlonamjerne korisne terete, već se oslanja na spoljnu datoteku šifrovanu algoritmom RC4 pod nazivom PVMDIJGKAX2 radi uskladištenja svih neophodnih resursa za instalaciju.

Razdvajanjem osjetljivih podataka od samog instalacijskog paketa, zlonamjerni akteri osiguravaju da statička analiza datoteke inst.exe sama po sebi otkrije neznatne dokaze o ugrožavanju, čime se otežavaju napori za odgovor na incidente i forenzičke istrage povezane sa zlonamjernim softverom za pokretanje sistema BlackX UEFI.

Šifrovanje datoteke PVMDIJGKAX2 dodaje još jedan sloj prikrivanja, budući da se njen sadržaj dešifruje tokom izvršavanja korištenjem argumenta komandne linije, tačnije ključa proslijeđenog tokom izvršavanja. Ovaj dizajn sprječava analitičare zlonamjernog softvera da izdvoje instalacijske datoteke bez izvršavanja instalacijskog paketa u izolovanom okruženju, čime se odlaže otkrivanje i analiza šire infrastrukture zlonamjernog softvera za pokretanje sistema BlackX UEFI.

Upotreba šifrovanja algoritmom RC4 usklađuje se sa taktikama uočenim u drugim kampanjama zlonamjernih aktera koji govore kineski jezik, čime se učvršćuju obrasci viđeni u srodnim porodicama zlonamjernog softvera poput alata BlackLotus.

Lanac primjene dodatno otežava utvrđivanje odgovornosti distribucijom datoteka širom particija sistema i UEFI okruženja, čime se osigurava postojanost čak i nakon ponovne instalacije operativnog sistema. Ovaj pristup iskorištava suštinsku razdvojenost između skladištenja ugrađenog softvera i tradicionalnih diskova, što je karakteristika koja čini zlonamjerni softver za pokretanje sistema BlackX UEFI otpornim na uobičajene metode uklanjanja, poput ponovne instalacije operativnog sistema Windows ili zamjene hardverskih komponenti.

Zlonamjerni akteri to iskorištavaju ugrađivanjem zlonamjernih datoteka u sistemsku particiju EFI, gdje one ostaju neotkrivene od strane standardnih antivirusnih softvera usmjerenih na procese u korisničkom prostoru, a ne na prijetnje na nivou ugrađenog softvera. Uprkos ovim strategijama izbjegavanja otkrivanja, oslanjanje na dešifrovanu datoteku uvodi potencijalne ranjivosti tokom izvršavanja.

Ako se ključ za dešifrovanje presretne ili ako se ponašanje instalacijskog paketa razlikuje od očekivanih pravila, poput neočekivane mrežne aktivnosti ili neuobičajenog međusobnog djelovanja procesa, zlonamjerni softver za pokretanje sistema BlackX UEFI može nenamjerno otkriti svoje prisustvo sistemima za nadzor.

Međutim, ovakva odstupanja su rijetka s obzirom na pažljiv dizajn lanca infekcije, koji daje prednost prikrivenosti u odnosu na brzinu pri primjeni zlonamjernih korisnih tereta u ciljanim okruženjima.

 

Ugrožavanje nadzora sistema na temeljnom nivou

Onemogućavanje sigurnosnih povratnih poziva postaje ključni mehanizam za zlonamjerni softver za pokretanje sistema BlackX UEFI. Pri presretanju aktivnosti procesa i niti, on sprječava alate da otkriju neovlaštene izmjene ili zlonamjerne procese koji se izvršavaju pod nadzorom jezgra.

Ovo ugrožavanje se proteže izvan pukog prikrivanja, pri čemu se aktivno suzbijaju upozorenja koja bi inače pokrenula neposrednu istragu, čime se stvara prozor za održivu upornost bez pokretanja automatizovanih odbrambenih mehanizama.

Zlonamjerni softver za pokretanje sistema BlackX UEFI osigurava da ovi povratni pozivi ostanu neaktivni mijenjanjem unosa u registru i memorijskih struktura tokom ranog pokretanja sistema, čime se efektivno utišava svaki pokušaj praćenja njegovog prisustva kroz tradicionalne okvire za nadzor. Ovaj pristup se proteže i na praćenje događaja za operativni sistem Windows (eng. event tracing for Windows – ETW), ključnu komponentu koju sigurnosni softver koristi za bilježenje događaja na nivou cijelog sistema.

Zlonamjerni softver za pokretanje sistema BlackX UEFI upravlja dobavljačima usluge praćenja događaja za operativni sistem Windows (ETW) radi filtriranja ili izmjene tokova podataka, čime se osigurava da zapisi ne odražavaju stvarno stanje operacija jezgra. Na taj način briše digitalne tragove ostavljene tokom njegovog izvršavanja i sprječava forenzičke alate da ponovo dobiju vremenske raspone zlonamjerne aktivnosti.

Ovo upravljanje je posebno podmuklo, jer se integritet praćenja događaja za operativni sistem Windows (ETW) često podrazumijeva u procesima rada za odgovor na incidente, čime se analitičarima onemogućava uočavanje nepravilnosti skrivenih ispod oštećenih tragova. Iako je praćenje događaja za operativni sistem Windows (ETW) osmišljeno za nadzor aktivnosti sistema, zlonamjerni softver za pokretanje sistema BlackX UEFI preusmjerava zahtjeve za pristup datotekama kroz stvarne procese poput alata calc.exe.

Kada dođe do zahtjeva za zlonamjernu datoteku, ugrađeni softver jezgra ga presreće i umjesto toga vraća rukovaocu informaciju o bezazlenoj aplikaciji, čime se maskira prava priroda pristupljenih podataka. Ovo preusmjeravanje otežava forenzičku analizu, čime se datoteke prikazuju kao bezazlene čak i kada sadrže skrivene zlonamjerne korisne terete ili šifrovane komponente.

Ova tehnika iskorištava povjerenje operativnog sistema Windows u standardne izvršne datoteke, pri čemu se rutinski sistemski alati pretvaraju u mamce koji prikrivaju operativni otisak zlonamjernog softvera za pokretanje sistema na temeljnom nivou.

 

Zlonamjerni korisni tereti i infrastruktura za komandovanje i kontrolu

Komponenta OxiDLLRunner zlonamjernog softvera za pokretanje sistema BlackX UEFI dešifruje šifrovanu datoteku pod nazivom v8_context_snapshot.bin radi pokretanja zlonamjernog korisnog tereta zasnovanog na programskom jeziku Rust. Ovaj modul razmjenjuje informacije sa domenom za komandovanje i kontrolu, www[.]archivetj[.]com, čime se zlonamjernim akterima omogućava da izdaju komande i primaju podatke sa ugroženih sistema.

Korištenje usluga skladištenja u oblaku, poput Google Drive, OneDrive ili Yandex.Disk, od strane zlonamjernog softvera za pokretanje sistema BlackX UEFI za operacije komandovanja i kontrolom naglašava njegovu prilagodljivost u izbjegavanju uobičajenih tehnika mrežnog nadzora.

Zlonamjerni korisni teret zasnovan na programskom jeziku Rust, koji primjenjuje zlonamjerni softver za pokretanje sistema BlackX UEFI, uključuje funkcionalnost za učitavanje dodatnih modula DLL kroz funkciju pod nazivom create_plugin.

Ovi moduli se izvršavaju u odvojenim nitima, čime se zlonamjernim akterima omogućava da dinamički prošire svoje sposobnosti bez izmjene početnog modula. Ovaj modularni pristup usklađuje se sa taktikama uočenim u kampanjama grupe APT41, u kojima se prilagodljivost i prikrivenost postavljaju kao prioritet u odnosu na nepromjenjive zlonamjerne korisne terete.

Iako glavni predmet pažnje zlonamjernog softvera za pokretanje sistema BlackX UEFI ostaje održavanje postojanosti na nivou ugrađenog softvera, njegov špijunski zlonamjerni korisni teret proteže se u korisnički prostor putem trojanskog konja za udaljeni pristup.

Ovaj zlonamjerni softver iskorištava infrastrukturu u oblaku za preuzimanje podataka, pri čemu koristi šifrovane kanale koji prikrivaju obrasce saobraćaja od uobičajenih alata za otkrivanje. Integracija ovakvih sposobnosti ističe na koji način napredne trajne prijetnje (APT) kombinuju tehnike niskog i visokog nivoa radi održavanja dugoročnog pristupa.

Pripisivanje grupi APT41 podržano je ponovljenom upotrebom identifikatora xdd unutar zlonamjernih korisnih tereta zlonamjernog softvera za pokretanje sistema BlackX UEFI. Ovaj marker, prethodno povezan sa operacijama FishMonger opisanim u istraživanju kompanije ESET, učvršćuje vezu između zlonamjernog softvera za pokretanje sistema i špijunskih aktivnosti pod državnim pokroviteljstvom koje ciljaju diplomatske mreže.

Primjena ovog potpisa od strane zlonamjernog softvera za pokretanje sistema BlackX UEFI sugeriše namjerni napor grupe APT41 da ponovo iskoristi ili preusmjeri postojeće alate za sajber kriminal radi strateške prednosti.

 

ZLONAMJERNI AKTER ATP41

Grupa APT41 predstavlja naprednu grupu zlonamjernih aktera koju se pripisuje subjektima pod državnim pokroviteljstvom povezanim sa Kinom. Ova grupa djeluje pod višestrukim nadimcima, uključujući BARIUM, BRASS TYPHOON, WICKED PANDA, Double Dragon i Fishmaster (TAG-22), čime se odražava njen svestrani pristup i istorijski razvoj.

Prvi put primijećena još 2007. godine, a stičući šire priznanje od 2012. godine nadalje, grupa APT41 dosljedno pokazuje prilagodljivost u svojim taktikama, pri čemu prelazi sa početnog iskorištavanja ranjivosti usmjerenih na javnost, poput CVE-2019-19781 (Citrix NetScaler/ADC) i Log4Shell (CVE-2021-44228), na naprednije operacije. Ove operacije uključuju ugrožavanje infrastrukture u oblaku, krađu pristupnih podataka i dugoročnu postojanost kroz prikrivene metode nakon ugrožavanja.

Grupa APT41 sprovodi i sajber špijunažu i napade motivisane finansijskom dobiti, pri čemu sve češće cilja platforme u oblaku poput AWS, Azure, GCP i Alibaba Cloud kroz prevare krađom identiteta, ugrožavanje lanca snabdijevanja i iskorištavanje ranjivosti u softveru.

Njene operacije koriste prilagođeni zlonamjerni softver poput alata TOUGHPROGRESS i Winnti Rootkit, uz dozvoljene alate kao što su PowerShell i reg.exe, radi krađe pristupnih podataka i izbjegavanja otkrivanja. Ova grupa cilja vladin, zdravstveni, finansijski i tehnološki sektor širom Sjedinjenih Američkih Država, jugoistočne Azije, Evrope i Indije, što je demonstrirano kampanjama poput Silver Dragon (2026).

Njena kombinacija špijunskih i finansijskih ciljeva, korištenje legitimnog softvera u zlonamjerne svrhe i napredne tehnike šifrovanja razlikuju grupu APT41 od grupa koje su isključivo usmjerene na špijunažu pod državnim pokroviteljstvom ili na sajber kriminal.

Operacije grupe APT41 napredovale su ka postojanosti zasnovanoj na oblaku, pri čemu koriste prikrivene tačke ulaza za Linux/ELF, komunikaciju za komandovanje i kontrolu zasnovanu na protokolu SMTP i domene sa namjerno pogrešno napisanim imenima (eng. typosquatting). Istovremeno, ova grupa održava pristup kroz krađu pristupnih podataka, otkrivanje mreže i bočno kretanje.

Njihove aktivnosti isto tako uključuju napade na lanac snabdijevanja i iskorištavanje ranjivosti u softveru, čime se omogućava brz početni pristup i trajno ugrožavanje. Uprkos razvoju taktika, preuzimanje pristupnih podataka iz datoteka, internet pregledača i usluge Active Directory ostaje u središtu njihovih operacija. Ovo je dopunjeno tehnikama izbjegavanja otkrivanja, poput pakovanja pomoću alata Themida i brisanja datoteka nakon izvlačenja podataka.

Ova kombinacija tehničke domišljatosti, strateške prilagodljivosti i dvostrukih motivacija pozicionira grupu APT41 kao trajnu naprednu prijetnju globalnim organizacijama širom različitih sektora.

 

ZAKLJUČAK

Novonastali obrasci u primjeni zlonamjernog softvera za pokretanje sistema BlackX UEFI otkrivaju sistemski trend u kojem se mehanizmi postojanosti na nivou ugrađenog softvera sve više koriste kao oružje od strane naprednih aktera radi zaobilaženja uobičajenih slojeva sigurnosti.

Za razliku od uobičajenog zlonamjernog softvera ograničenog na diskove operativnog sistema, ovaj pristup ugrađuje zlonamjerni kôd unutar particija EFI ili NVRAM, čime se uobičajena ponovna instalacija operativnog sistema čini neefikasnom, što otežava napore za forenzički oporavak.

Oslanjanje na nedovršene korake opoziva, poput neprimijenjenih blokada certifikata za Windows Production PCA 2011, ističe kritičnu nejednakost između tehničkih preporuka za ublažavanje i praksi administrativnog sprovođenja širom ciljanih sektora.

Razvoj zlonamjernog softvera za pokretanje sistema BlackX UEFI od alata za sajber kriminal do instrumenta za špijunažu pod državnim pokroviteljstvom naglašava širi pomak u sposobnostima zlonamjernih aktera, pri čemu se komercijalna okruženja zlonamjernog softvera inženjerski preokreću ili preusmjeravaju za strateške ciljeve.

Ovo uključuje povezivanje modularnih zlonamjernih korisnih tereta poput alata OxiDLLRunner i infrastrukture za komandovanje i kontrolu zasnovane na oblaku, čime se omogućava trajno preuzimanje podataka uz istovremeno izbjegavanje otkrivanja na krajnjim tačkama kroz preusmjeravanje procesa i upravljanje praćenjem događaja za operativni sistem Windows (ETW).

Ovakva prilagođavanja sugerišu rastuće zbližavanje između alata za sajber kriminal i operacija nacionalnih država, čime se brišu tradicionalne granice pripisivanja.

Iako koraci za ublažavanje koje preduzima kompanija Microsoft za ranjivosti poput CVE-2022-21894 uključuju opozivanje certifikata i ažuriranja podešavanja funkcije Secure Boot, postojanost zlonamjernog softvera za pokretanje sistema BlackX UEFI pokazuje na koji način se propusti u ovim procedurama mogu iskoristiti za održavanje dugoročnog pristupa čak i na potpuno ažuriranim sistemima.

Upotreba tehnika prikrivanja, poput šifrovanja zasnovanog na OLLVM za zlonamjerne korisne terete, dodatno otežava lov na prijetnje, pri čemu se zlonamjerna aktivnost prikriva unutar stvarnih procesa ili šifrovanih kontejnera, što zahtijeva specijalizovane alate za skeniranje ugrađenog softvera radi otkrivanja.

Ono što ostaje neistraženo jeste na koji način bi oslanjanje zlonamjernog softvera za pokretanje sistema BlackX UEFI na administratorske privilegije i ugrožavanje mreže moglo uticati na buduće vektore napada koji ciljaju lance snabdijevanja ugrađenog softvera ili proizvođače hardvera.

Kako zaštite funkcije Secure Boot postaju sve ukorijenjenije u poslovnim okruženjima, postavlja se pitanje da li će se slične ranjivosti ponovo pojaviti kroz alternativne puteve iskorištavanja, ili ova kampanja označava prekretnicu u kojoj se prijetnje na nivou ugrađenog softvera pozicioniraju kao trajno skrivena i još neotkrivena vrata.

 

PREPORUKE

Kampanje sajber špijunaže, koje ističu upornu prijetnju koju nameće napredni zlonamjerni softver za pokretanje sistema BlackX UEFI, pokazuju na koji način nepotpuni postupci opoziva i prikriveni lanci napada mogu narušiti kritične bezbjednosne zaštite. Mjere navedene u nastavku imaju za cilj ublažavanje rizika i unapređenje ukupne otpornosti:

1. Sprovoditi temeljnu provjeru podešavanja bezbjednog pokretanja, čime se osigurava da su svi opozivi certifikata (poput onog za certifikat “Windows Production PCA 2011”) izričito primijenjeni. Ovo je od ključnog značaja, jer čak i ažurirani sistemi ostaju ranjivi ukoliko se koraci opoziva ne sprovedu ručno, što omogućava zlonamjernim komponentama za pokretanje da zaobiđu zaštite poput onih koje iskorištava zlonamjerni softver za pokretanje sistema BlackX UEFI.
2. Sprovoditi redovne preglede ugrađenog softvera i particija EFI radi otkrivanja neovlaštenih ključeva vlasnika mašine (MOK) ili izmijenjenog softvera za pokretanje. Sposobnost zlonamjernog softvera za pokretanje sistema BlackX UEFI da ubaci prilagođene ključeve vlasnika mašine (MOK) u ugrađeni softver UEFI naglašava potrebu za neprekidnim praćenjem ovih komponenti niskog nivoa, koje se često zanemaruju u tradicionalnim bezbjednosnim procjenama.
3. Primijeniti softvere za otkrivanje i odgovor na prijetnje (eng. Endpoint Detection and Response – EDR) sa namjenskim mogućnostima skeniranja UEFI. Budući da zlonamjerni softver za pokretanje sistema BlackX UEFI boravi izvan diska operativnog sistema, odnosno u sistemskim particijama EFI ili NVRAM, uobičajeni antivirusni softveri ga možda neće otkriti. Specijalizovana analiza naprednog softvera može rano prepoznati takve uporne prijetnje.
4. Uspostaviti politike kojima se od administratora zahtijeva da provjere status opoziva i ažuriraju baze podataka povjerenja za bezbjedno pokretanje u skladu sa smjernicama kompanije Microsoft. Zlonamjerni softver za pokretanje sistema BlackX UEFI iskoristio je praznine u ovom procesu, čime se naglašava da automatsko sprovođenje ažuriranja samo po sebi nije dovoljno bez jasnih ručnih koraka za opoziv certifikata.
5. Unaprijediti praćenje neobičnih administratorskih aktivnosti, poput neovlaštenog pristupa podešavanjima ugrađenog softvera ili neočekivanih promjena u redoslijedu pokretanja. Zlonamjerni akteri koji koriste zlonamjerni softver za pokretanje sistema BlackX UEFI često prvo stiču administratorske privilegije, čime se analiza ponašanja čini ključnim slojem u otkrivanju izviđanja prije napada ili napora za održavanje postojanosti nakon ugrožavanja.
6. Uključiti izvore obavještajnih podataka o prijetnjama sa platformi u sisteme za upravljanje bezbjednosnim informacijama i događajima (eng. Security Information and Event Management – SIEM) radi prepoznavanja prikrivenih korisnih tereta i znakova ugroženosti povezanih sa zlonamjernim softverom za pokretanje sistema BlackX UEFI. Korištenje alata poput OLLVM za prikrivanje kôda u njegovom lancu napada ukazuje na potrebu za naprednim mehanizmima za otkrivanje koji nadilaze pristupe zasnovane na potpisima.
7. Zahtijevati provjeru identiteta u više koraka (MFA) za sav administratorski pristup mrežnim resursima i okruženjima ugrađenog softvera. Upotreba zlonamjernog softvera za pokretanje sistema BlackX UEFI obično slijedi nakon početnog ugrožavanja mreže, pa ograničavanje privilegovanog pristupa putem provjere identiteta u više koraka (MFA) može smanjiti rizik od neovlaštene instalacije ili izmjene zlonamjernih komponenti.
8. Razviti planove za odgovor na sajber prijetnje koji uključuju procedure za oporavak na nivou ugrađenog softvera. Budući da ponovna instalacija operativnog sistema Windows ne uklanja zlonamjerni softver za pokretanje sistema BlackX UEFI, organizacije moraju pripremiti alate i procese za ponovno pravljenje slike particija EFI ili resetovanje podešavanja NVRAM u slučaju ugrožavanja.
9. Ojačati saradnju sa platformama za obavještajne podatke o prijetnjama radi praćenja statusa opoziva i obrazaca korištenja certifikata povezanih sa APT grupama koje govore kineski jezik, poput APT41. Povezanost zlonamjernog softvera za pokretanje sistema BlackX UEFI sa ovom grupom ističe važnost međusektorskog dijeljenja znakova ugroženosti, uključujući opozvane certifikate ili potpise zlonamjernog ugrađenog softvera.
10. Uvesti obavezu redovnog testiranja podešavanja bezbjednog pokretanja u okruženjima visokog rizika (npr. vladin i diplomatski sektor). Organizacije bi trebale simulirati scenarije opoziva i osigurati da svi sistemi mogu izdržati napade poput onih koje sprovodi zlonamjerni softver za pokretanje sistema BlackX UEFI bez oslanjanja na neispravljene ranjivosti.
11. Ograničiti korištenje zastarjelih komponenti ili nepotpisanih modula ugrađenog softvera, jer ih zlonamjerni softver za pokretanje sistema BlackX UEFI često iskorištava za zaobilaženje zaštita bezbjednog pokretanja. Blagovremeno ukidanje zastarjelog hardvera i softvera smanjuje površine napada koje bi se mogle iskoristiti za održavanje postojanosti.
12. Ojačati odbranu protiv tehnika neovlaštenog učitavanja DLL datoteka koje se koriste u lancu instalacije zlonamjernog softvera za pokretanje sistema BlackX UEFI. Sprovođenjem strogih politika liste dozvoljenih aplikacija, organizacije mogu spriječiti neovlaštene izvršne datoteke da učitavaju zlonamjerne zavisnosti tokom izvršavanja.
13. Formirati namjenski tim ili ulogu usmjerenu na bezbjednost ugrađenog softvera i upravljanje bezbjednim pokretanjem. Složenost prijetnji poput zlonamjernog softvera za pokretanje sistema BlackX UEFI zahtijeva specijalizovano znanje za podešavanje, praćenje i odgovor na ranjivosti koje tradicionalni timovi informacionih tehnologija mogu previdjeti.
14. Ojačati saradnju između timova za sajber bezbjednost i dobavljača ugrađenog softvera radi rješavanja praznina u izvođenjima bezbjednog pokretanja. Budući da pokretački zlonamjerni softver za pokretanje sistema BlackX UEFI iskorištava ranjivosti koje opstaju čak i nakon ažuriranja, potrebni su napori na nivou cijele industrije kako bi se osiguralo da se postupci opoziva i upravljanje certifikatima sveobuhvatno sprovode na svim platformama.

Uporna prijetnja zlonamjernog softvera za pokretanje sistema BlackX UEFI naglašava potrebu za strategijom slojevite odbrane koja kombinuje bezbjednost na nivou ugrađenog softvera sa neprekidnim praćenjem, sprovođenjem politika i razmjenom obavještajnih podataka između sektora. Rješavanjem i tehničkih ranjivosti i administrativnih propusta, organizacije mogu značajno smanjiti svoju izloženost ovakvim naprednim prijetnjama.