{"id":9823,"date":"2026-10-27T12:48:46","date_gmt":"2026-10-27T11:48:46","guid":{"rendered":"https:\/\/sajberinfo.com\/?p=9823"},"modified":"2026-10-27T12:48:46","modified_gmt":"2026-10-27T11:48:46","slug":"blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema","status":"publish","type":"post","link":"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/","title":{"rendered":"BlackX UEFI: Zlonamjerni softver za pokretanje sistema"},"content":{"rendered":"<p><a href=\"https:\/\/sajberinfo.com\/en\/2021\/09\/26\/malware\/\" data-internallinksmanager029f6b8e52c=\"8\" title=\"Malware\" rel=\"nofollow noopener\" target=\"_blank\">Zlonamjerni softver<\/a> za pokretanje sistema <em>BlackX UEFI<\/em>, koji se sa srednjim stepenom pouzdanosti pripisuje grupi <em>APT41<\/em>, zaobilazi mehanizam <em>Windows Secure Boot<\/em> na potpuno a\u017euriranim sistemima iskori\u0161tavanjem ranjivosti <em>Baton Drop<\/em> (<em>CVE-2022-21894<\/em>) radi instalacije prilago\u0111enih klju\u010deva vlasnika ma\u0161ine (<em>MOK<\/em>), <a href=\"https:\/\/securelist.com\/uefi-bootkit-blackx\/121539\/\" target=\"_blank\" rel=\"noopener\">otkriva kompanija <em>Kaspersky<\/em><\/a>. <a href=\"https:\/\/sajberinfo.com\/en\/2022\/03\/19\/hakeri-crni-sesiri-epizoda-3\/\" data-internallinksmanager029f6b8e52c=\"2\" title=\"Hakeri: Crni \u0161e\u0161iri (Epizoda 3)\" rel=\"nofollow noopener\" target=\"_blank\">Zlonamjerni akteri<\/a> primijenili su ovaj napad protiv diplomatskih organizacija koriste\u0107i zlonamjerni korisni teret skriven unutar stvarne instalacijske datoteke.<\/p>\n<div id=\"attachment_9828\" style=\"width: 1210px\" class=\"wp-caption aligncenter\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-9828\" class=\"size-full wp-image-9828\" src=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/BlackX-UEFI-Zlonamjerni-softver.jpg\" alt=\"BlackX UEFI\" width=\"1200\" height=\"896\" srcset=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/BlackX-UEFI-Zlonamjerni-softver.jpg 1200w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/BlackX-UEFI-Zlonamjerni-softver-300x224.jpg 300w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/BlackX-UEFI-Zlonamjerni-softver-1024x765.jpg 1024w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/BlackX-UEFI-Zlonamjerni-softver-768x573.jpg 768w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/BlackX-UEFI-Zlonamjerni-softver-16x12.jpg 16w\" sizes=\"auto, (max-width: 1200px) 100vw, 1200px\" \/><p id=\"caption-attachment-9828\" class=\"wp-caption-text\"><em>BlackX UEFI: Zlonamjerni softver za pokretanje sistema; Source: Nano Banana 2<\/em><\/p><\/div>\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-custom ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Sadr\u017eaj<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #ffffff;color:#ffffff\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #ffffff;color:#ffffff\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#BLACKX_UEFI_BOOTKIT\" >BLACKX UEFI BOOTKIT<\/a><ul class='ez-toc-list-level-3' ><li class='ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#Iskoristavanje_funkcije_Secure_Boot\" >Iskori\u0161tavanje funkcije Secure Boot<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#Zlonamjerni_korisni_teret_i_taktike_izbjegavanja\" >Zlonamjerni korisni teret i taktike izbjegavanja<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#Ugrozavanje_nadzora_sistema_na_temeljnom_nivou\" >Ugro\u017eavanje nadzora sistema na temeljnom nivou<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#Zlonamjerni_korisni_tereti_i_infrastruktura_za_komandovanje_i_kontrolu\" >Zlonamjerni korisni tereti i infrastruktura za komandovanje i kontrolu<\/a><\/li><\/ul><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#ZLONAMJERNI_AKTER_ATP41\" >ZLONAMJERNI AKTER ATP41<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#ZAKLJUCAK\" >ZAKLJU\u010cAK<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-8\" href=\"https:\/\/sajberinfo.com\/en\/2026\/10\/27\/blackx-uefi-zlonamjerni-softver-za-pokretanje-sistema\/#PREPORUKE\" >PREPORUKE<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"BLACKX_UEFI_BOOTKIT\"><\/span><strong><em>BLACKX<\/em> <em>UEFI<\/em> <em>BOOTKIT<\/em><\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Evolucija prijetnji na nivou ugra\u0111enog softvera (eng. <em>firmware<\/em>) dosegla je kriti\u010dnu ta\u010dku preokreta pojavom zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em>, koji je sa sivih tr\u017ei\u0161ta pre\u0161ao u aktivne operacije pod dr\u017eavnim pokroviteljstvom. Ovaj prelazak iskori\u0161tava propust u modelu povjerenja mehanizma <em>Secure<\/em> <em>Boot<\/em>, \u010dime se potkopavaju \u010dak i potpuno a\u017eurirani sistemi.<\/p>\n<p>Ovaj vektor napada djeluje poput tihog parazita u ugra\u0111enom softveru, pri \u010demu se zlonamjerni k\u00f4d ugra\u0111uje unutar <a href=\"https:\/\/sajberinfo.com\/en\/2022\/03\/20\/enkripcija-podataka-istorija-i-osnove-epizoda-1\/\" data-internallinksmanager029f6b8e52c=\"6\" title=\"Enkripcija podataka: Istorija i osnove (Epizoda 1)\" rel=\"nofollow noopener\" target=\"_blank\">\u0161ifrovanih<\/a> <a href=\"https:\/\/sajberinfo.com\/en\/2023\/04\/11\/payload\/\" data-internallinksmanager029f6b8e52c=\"3\" title=\"Payload\" rel=\"nofollow noopener\" target=\"_blank\">zlonamjernih korisnih tereta<\/a> i iskori\u0161tava ranjivost <em>Baton<\/em> <em>Drop<\/em>, ozna\u010denu kao <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2022-21894\" target=\"_blank\" rel=\"noopener\"><em>CVE-2022-21894<\/em><\/a>. On izbjegava otkrivanje sve dok ne prepi\u0161e redoslijed pokretanja sistema radi u\u010ditavanja neovla\u0161tenih <em>EFI<\/em> modula.<\/p>\n<p>Oslanjanje zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> na ugro\u017eene klju\u010deve vlasnika ma\u0161ine (eng. <em>machine owner keys \u2013 MOK<\/em>) podsje\u0107a na ranije alate poput <a href=\"https:\/\/sajberinfo.com\/2023\/03\/04\/blacklotus-zaobilazi-windows-secure-boot\/\" target=\"_blank\" rel=\"nofollow noopener\"><em>BlackLotus<\/em><\/a>. Me\u0111utim, <em>BlackX UEFI<\/em> uvodi nove slojeve prikrivanja putem <em>RC4<\/em> \u0161ifrovanja i zlonamjernih korisnih tereta zasnovanih na programskom jeziku <em>Rust<\/em>, \u010dime se forenzi\u010dka analiza ote\u017eava za timove za odgovor na incidente.<\/p>\n<p>Njegova primjena protiv diplomatskih subjekata u regionu Centralna Azija nagla\u0161ava strate\u0161ki pomak u kojem grupe za sajber \u0161pijuna\u017eu pretvaraju komercijalne okvire zlonamjernog softvera u oru\u017eje. Na taj na\u010din bri\u0161u se granice izme\u0111u kriminalnih i dr\u017eavnih zlonamjernih aktera.<\/p>\n<p>Postojanost zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> zavisi od administrativnih propusta, odnosno neuspjeha u opozivanju zastarjelih certifikata. Ovi propusti ostavljaju odbrambene mehanizme funkcije <em>Secure<\/em> <em>Boot<\/em> prakti\u010dno neaktivnim, uprkos potpunoj usagla\u0161enosti sa primjenom ispravki.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Iskoristavanje_funkcije_Secure_Boot\"><\/span><strong>Iskori\u0161tavanje funkcije <em>Secure Boot<\/em><\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Iskori\u0161tavanje ranjivosti <em>Baton<\/em> <em>Drop<\/em> omogu\u0107ava zlonamjernom softveru za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> da zaobi\u0111e za\u0161titne mehanizme funkcije <em>Windows<\/em> <em>Secure<\/em> <em>Boot<\/em> instalacijom prilago\u0111enih klju\u010deva vlasnika ma\u0161ine (<em>MOK<\/em>). Ovaj proces pokazuje tehnike kori\u0161tene u ranijem zlonamjernom softveru poput alata <em>BlackLotus<\/em>, ali uvodi promjene u primjeni, \u010dime se sugeri\u0161e prilago\u0111avanje, a ne direktno kopiranje.<\/p>\n<p>Prilago\u0111eni klju\u010devi vlasnika ma\u0161ine (<em>MOK<\/em>) djeluju kao most, \u010dime se omogu\u0107ava da se datoteke <em>EFI<\/em> pod kontrolom zlonamjernog aktera u\u010ditaju tokom faze prije pokretanja sistema, \u0161to efektivno zaobilazi predvi\u0111ena ograni\u010denja funkcije <em>Windows<\/em> <em>Secure<\/em> <em>Boot<\/em> u pogledu izvr\u0161avanja nepotpisanog k\u00f4da. Ovaj mehanizam oslanja se na upravljanje pode\u0161avanjima ugra\u0111enog softvera <em>UEFI<\/em>, pri \u010demu se zlonamjerni korisni tereti prihva\u0107aju kao stvarni.<\/p>\n<p>Upisivanjem ovih klju\u010deva u skladi\u0161te povjerenja sistema, zlonamjerni softver za pokretanje sistema osigurava da naredne faze njegove primjene, poput ubacivanja potpisanog ugra\u0111enog softvera jezgra, budu prepoznate od strane procesa sigurnog pokretanja. Ovo ugro\u017eava osnovnu svrhu funkcije <em>Windows<\/em> <em>Secure<\/em> <em>Boot<\/em>, koja je osmi\u0161ljena da blokira izvr\u0161avanje neovla\u0161tenog k\u00f4da prije pokretanja operativnog sistema <em>Windows<\/em>.<\/p>\n<p>Zlonamjerni softver za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> iskori\u0161tava ovaj propust radi odr\u017eavanja postojanosti \u010dak i na potpuno a\u017euriranim sistemima, gdje koraci za opozivanje certifikata ostaju nedovr\u0161eni. Opozvani digitalni certifikat povezan sa kineskim poslovnim subjektom dodatno ote\u017eava napore u otkrivanju.<\/p>\n<p>Iako bi status opoziva certifikata trebao sprije\u010diti njegovu upotrebu, zlonamjerni akteri iskori\u0161tavaju propuste u sprovo\u0111enju pode\u0161avanja funkcije <em>Windows<\/em> <em>Secure<\/em> <em>Boot<\/em> radi u\u010ditavanja zlonamjernih ugra\u0111enih softvera potpisanih tim certifikatom. Ovo isti\u010de na koji na\u010din administrativni propusti, poput neuspjeha u primjeni neophodnih opoziva, mogu ostaviti sisteme ranjivim uprkos primjeni ispravki za poznate ranjivosti poput <em>CVE-2022-21894<\/em>.<\/p>\n<p>Oslanjanje zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> na ovakvu nepa\u017enju nagla\u0161ava potrebu za rigoroznim revizijama sigurnosti na nivou ugra\u0111enog softvera i nadzorom pode\u0161avanja skladi\u0161ta povjerenja u stvarnom vremenu.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Zlonamjerni_korisni_teret_i_taktike_izbjegavanja\"><\/span><strong>Zlonamjerni korisni teret i taktike izbjegavanja<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Primjena zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> po\u010dinje naizgled bezazlenim instalacijskim paketom <em>inst.exe<\/em>, koji djeluje kao po\u010detna ta\u010dka ulaza za njegove zlonamjerne komponente. Ovaj izvr\u0161ni softver sam po sebi ne sadr\u017ei nikakve prepoznatljive zlonamjerne nizove ili ugra\u0111ene zlonamjerne korisne terete, ve\u0107 se oslanja na spoljnu datoteku \u0161ifrovanu algoritmom <em>RC4<\/em> pod nazivom <em>PVMDIJGKAX2<\/em> radi uskladi\u0161tenja svih neophodnih resursa za instalaciju.<\/p>\n<p>Razdvajanjem osjetljivih podataka od samog instalacijskog paketa, zlonamjerni akteri osiguravaju da stati\u010dka analiza datoteke <em>inst.exe<\/em> sama po sebi otkrije neznatne dokaze o ugro\u017eavanju, \u010dime se ote\u017eavaju napori za odgovor na incidente i forenzi\u010dke istrage povezane sa zlonamjernim softverom za pokretanje sistema <em>BlackX UEFI<\/em>.<\/p>\n<p>\u0160ifrovanje datoteke <em>PVMDIJGKAX2<\/em> dodaje jo\u0161 jedan sloj prikrivanja, budu\u0107i da se njen sadr\u017eaj de\u0161ifruje tokom izvr\u0161avanja kori\u0161tenjem argumenta komandne linije, ta\u010dnije klju\u010da proslije\u0111enog tokom izvr\u0161avanja. Ovaj dizajn sprje\u010dava analiti\u010dare zlonamjernog softvera da izdvoje instalacijske datoteke bez izvr\u0161avanja instalacijskog paketa u izolovanom okru\u017eenju, \u010dime se odla\u017ee otkrivanje i analiza \u0161ire infrastrukture zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em>.<\/p>\n<p>Upotreba \u0161ifrovanja algoritmom RC4 uskla\u0111uje se sa taktikama uo\u010denim u drugim kampanjama zlonamjernih aktera koji govore kineski jezik, \u010dime se u\u010dvr\u0161\u0107uju obrasci vi\u0111eni u srodnim porodicama zlonamjernog softvera poput alata <em>BlackLotus<\/em>.<\/p>\n<p>Lanac primjene dodatno ote\u017eava utvr\u0111ivanje odgovornosti distribucijom datoteka \u0161irom particija sistema i <em>UEFI<\/em> okru\u017eenja, \u010dime se osigurava postojanost \u010dak i nakon ponovne instalacije operativnog sistema. Ovaj pristup iskori\u0161tava su\u0161tinsku razdvojenost izme\u0111u skladi\u0161tenja ugra\u0111enog softvera i tradicionalnih diskova, \u0161to je karakteristika koja \u010dini zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> otpornim na uobi\u010dajene metode uklanjanja, poput ponovne instalacije operativnog sistema <em>Windows<\/em> ili zamjene hardverskih komponenti.<\/p>\n<p>Zlonamjerni akteri to iskori\u0161tavaju ugra\u0111ivanjem zlonamjernih datoteka u sistemsku particiju <em>EFI<\/em>, gdje one ostaju neotkrivene od strane standardnih <a href=\"https:\/\/sajberinfo.com\/en\/2021\/08\/17\/antivirusni-softver\/\" data-internallinksmanager029f6b8e52c=\"9\" title=\"ANTIVIRUSNI SOFTVER\" rel=\"nofollow noopener\" target=\"_blank\">antivirusnih softvera<\/a> usmjerenih na procese u korisni\u010dkom prostoru, a ne na prijetnje na nivou ugra\u0111enog softvera. Uprkos ovim strategijama izbjegavanja otkrivanja, oslanjanje na de\u0161ifrovanu datoteku uvodi potencijalne ranjivosti tokom izvr\u0161avanja.<\/p>\n<p>Ako se <a href=\"https:\/\/sajberinfo.com\/en\/2022\/04\/22\/enkripcija-podataka-upravljanje-kljucevima-i-nedostaci-enkripcije-epizoda-3\/\" data-internallinksmanager029f6b8e52c=\"10\" title=\"Enkripcija podataka: Upravljanje klju\u010devima\" rel=\"nofollow noopener\" target=\"_blank\">klju\u010d za de\u0161ifrovanje<\/a> presretne ili ako se pona\u0161anje instalacijskog paketa razlikuje od o\u010dekivanih pravila, poput neo\u010dekivane mre\u017ene aktivnosti ili neuobi\u010dajenog me\u0111usobnog djelovanja procesa, zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> mo\u017ee nenamjerno otkriti svoje prisustvo sistemima za nadzor.<\/p>\n<p>Me\u0111utim, ovakva odstupanja su rijetka s obzirom na pa\u017eljiv dizajn lanca infekcije, koji daje prednost prikrivenosti u odnosu na brzinu pri primjeni zlonamjernih korisnih tereta u ciljanim okru\u017eenjima.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Ugrozavanje_nadzora_sistema_na_temeljnom_nivou\"><\/span><strong>Ugro\u017eavanje nadzora sistema na temeljnom nivou<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Onemogu\u0107avanje sigurnosnih povratnih poziva postaje klju\u010dni mehanizam za zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em>. Pri presretanju aktivnosti procesa i niti, on sprje\u010dava alate da otkriju neovla\u0161tene izmjene ili zlonamjerne procese koji se izvr\u0161avaju pod nadzorom jezgra.<\/p>\n<p>Ovo ugro\u017eavanje se prote\u017ee izvan pukog prikrivanja, pri \u010demu se aktivno suzbijaju upozorenja koja bi ina\u010de pokrenula neposrednu istragu, \u010dime se stvara prozor za odr\u017eivu upornost bez pokretanja automatizovanih odbrambenih mehanizama.<\/p>\n<p>Zlonamjerni softver za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> osigurava da ovi povratni pozivi ostanu neaktivni mijenjanjem unosa u registru i memorijskih struktura tokom ranog pokretanja sistema, \u010dime se efektivno uti\u0161ava svaki poku\u0161aj pra\u0107enja njegovog prisustva kroz tradicionalne okvire za nadzor. Ovaj pristup se prote\u017ee i na pra\u0107enje doga\u0111aja za operativni sistem <em>Windows<\/em> (eng. <em>event tracing for Windows \u2013 ETW<\/em>), klju\u010dnu komponentu koju sigurnosni softver koristi za bilje\u017eenje doga\u0111aja na nivou cijelog sistema.<\/p>\n<p>Zlonamjerni softver za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> upravlja dobavlja\u010dima usluge pra\u0107enja doga\u0111aja za operativni sistem <em>Windows<\/em> (<em>ETW<\/em>) radi filtriranja ili izmjene tokova podataka, \u010dime se osigurava da zapisi ne odra\u017eavaju stvarno stanje operacija jezgra. Na taj na\u010din bri\u0161e digitalne tragove ostavljene tokom njegovog izvr\u0161avanja i sprje\u010dava forenzi\u010dke alate da ponovo dobiju vremenske raspone zlonamjerne aktivnosti.<\/p>\n<p>Ovo upravljanje je posebno podmuklo, jer se integritet pra\u0107enja doga\u0111aja za operativni sistem <em>Windows<\/em> (<em>ETW<\/em>) \u010desto podrazumijeva u procesima rada za odgovor na incidente, \u010dime se analiti\u010darima onemogu\u0107ava uo\u010davanje nepravilnosti skrivenih ispod o\u0161te\u0107enih tragova. Iako je pra\u0107enje doga\u0111aja za operativni sistem <em>Windows<\/em> (<em>ETW<\/em>) osmi\u0161ljeno za nadzor aktivnosti sistema, zlonamjerni softver za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> preusmjerava zahtjeve za pristup datotekama kroz stvarne procese poput alata calc.exe.<\/p>\n<p>Kada do\u0111e do zahtjeva za zlonamjernu datoteku, ugra\u0111eni softver jezgra ga presre\u0107e i umjesto toga vra\u0107a rukovaocu informaciju o bezazlenoj aplikaciji, \u010dime se maskira prava priroda pristupljenih podataka. Ovo preusmjeravanje ote\u017eava forenzi\u010dku analizu, \u010dime se datoteke prikazuju kao bezazlene \u010dak i kada sadr\u017ee skrivene zlonamjerne korisne terete ili <a href=\"https:\/\/sajberinfo.com\/en\/2022\/04\/10\/enkripcija-podataka-funkcionisanje-i-vrste-epizoda-2\/\" data-internallinksmanager029f6b8e52c=\"7\" title=\"Enkripcija podataka: Funkcionisanje i vrste\" rel=\"nofollow noopener\" target=\"_blank\">\u0161ifrovane<\/a> komponente.<\/p>\n<p>Ova tehnika iskori\u0161tava povjerenje operativnog sistema <em>Windows<\/em> u standardne izvr\u0161ne datoteke, pri \u010demu se rutinski sistemski alati pretvaraju u mamce koji prikrivaju operativni otisak zlonamjernog softvera za pokretanje sistema na temeljnom nivou.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Zlonamjerni_korisni_tereti_i_infrastruktura_za_komandovanje_i_kontrolu\"><\/span><strong>Zlonamjerni korisni tereti i infrastruktura za komandovanje i kontrolu<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Komponenta <em>OxiDLLRunner<\/em> zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> de\u0161ifruje \u0161ifrovanu datoteku pod nazivom <em>v8_context_snapshot.bin<\/em> radi pokretanja zlonamjernog korisnog tereta zasnovanog na programskom jeziku <em>Rust<\/em>. Ovaj modul razmjenjuje informacije sa domenom za komandovanje i kontrolu, <em>www[.]archivetj[.]com<\/em>, \u010dime se zlonamjernim akterima omogu\u0107ava da izdaju komande i primaju podatke sa ugro\u017eenih sistema.<\/p>\n<p>Kori\u0161tenje usluga skladi\u0161tenja u oblaku, poput <em>Google Drive<\/em>, <em>OneDrive <\/em>ili <em>Yandex.Disk<\/em>, od strane zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> za operacije komandovanja i kontrolom nagla\u0161ava njegovu prilagodljivost u izbjegavanju uobi\u010dajenih tehnika mre\u017enog nadzora.<\/p>\n<p>Zlonamjerni korisni teret zasnovan na programskom jeziku <em>Rust<\/em>, koji primjenjuje zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em>, uklju\u010duje funkcionalnost za u\u010ditavanje dodatnih modula <em>DLL<\/em> kroz funkciju pod nazivom <em>create_plugin<\/em>.<\/p>\n<p>Ovi moduli se izvr\u0161avaju u odvojenim nitima, \u010dime se zlonamjernim akterima omogu\u0107ava da dinami\u010dki pro\u0161ire svoje sposobnosti bez izmjene po\u010detnog modula. Ovaj modularni pristup uskla\u0111uje se sa taktikama uo\u010denim u kampanjama grupe <em>APT41<\/em>, u kojima se prilagodljivost i prikrivenost postavljaju kao prioritet u odnosu na nepromjenjive zlonamjerne korisne terete.<\/p>\n<p>Iako glavni predmet pa\u017enje zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> ostaje odr\u017eavanje postojanosti na nivou ugra\u0111enog softvera, njegov \u0161pijunski zlonamjerni korisni teret prote\u017ee se u korisni\u010dki prostor putem trojanskog konja za udaljeni pristup.<\/p>\n<p>Ovaj zlonamjerni softver iskori\u0161tava infrastrukturu u oblaku za preuzimanje podataka, pri \u010demu koristi \u0161ifrovane kanale koji prikrivaju obrasce saobra\u0107aja od uobi\u010dajenih alata za otkrivanje. Integracija ovakvih sposobnosti isti\u010de na koji na\u010din <a href=\"https:\/\/sajberinfo.com\/en\/2020\/12\/08\/apt-sponzorisani-napadi\/\" data-internallinksmanager029f6b8e52c=\"11\" title=\"APT: Sponzorisani napadi\" rel=\"nofollow noopener\" target=\"_blank\">napredne trajne prijetnje<\/a> <em>(APT)<\/em> kombinuju tehnike niskog i visokog nivoa radi odr\u017eavanja dugoro\u010dnog pristupa.<\/p>\n<p>Pripisivanje grupi <em>APT41<\/em> podr\u017eano je ponovljenom upotrebom identifikatora <em>xdd<\/em> unutar zlonamjernih korisnih tereta zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em>. Ovaj marker, prethodno povezan sa operacijama <em>FishMonger<\/em> <a href=\"https:\/\/www.welivesecurity.com\/en\/eset-research\/fishmongers-arsenal-upgraded-sprysocks-windows\/https:\/www.welivesecurity.com\/en\/eset-research\/fishmongers-arsenal-upgraded-sprysocks-windows\/\" target=\"_blank\" rel=\"noopener\">opisanim u istra\u017eivanju<\/a> kompanije <em>ESET<\/em>, u\u010dvr\u0161\u0107uje vezu izme\u0111u zlonamjernog softvera za pokretanje sistema i \u0161pijunskih aktivnosti pod dr\u017eavnim pokroviteljstvom koje ciljaju diplomatske mre\u017ee.<\/p>\n<p>Primjena ovog potpisa od strane zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> sugeri\u0161e namjerni napor grupe <em>APT41<\/em> da ponovo iskoristi ili preusmjeri postoje\u0107e alate za sajber kriminal radi strate\u0161ke prednosti.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"ZLONAMJERNI_AKTER_ATP41\"><\/span><strong>ZLONAMJERNI AKTER <em>ATP41<\/em><\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Grupa <em>APT41<\/em> predstavlja naprednu grupu zlonamjernih aktera koju se pripisuje subjektima pod dr\u017eavnim pokroviteljstvom povezanim sa Kinom. Ova grupa djeluje pod vi\u0161estrukim nadimcima, uklju\u010duju\u0107i <em>BARIUM<\/em>, <em>BRASS<\/em> <em>TYPHOON<\/em>, <em>WICKED<\/em> <em>PANDA<\/em>, <em>Double<\/em> <em>Dragon<\/em> i <em>Fishmaster<\/em> (<em>TAG-22<\/em>), \u010dime se odra\u017eava njen svestrani pristup i istorijski razvoj.<\/p>\n<p>Prvi put primije\u0107ena jo\u0161 2007. godine, a sti\u010du\u0107i \u0161ire priznanje od 2012. godine nadalje, grupa <em>APT41<\/em> dosljedno pokazuje prilagodljivost u svojim taktikama, pri \u010demu prelazi sa po\u010detnog iskori\u0161tavanja ranjivosti usmjerenih na javnost, poput <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2019-19781\" target=\"_blank\" rel=\"noopener\"><em>CVE-2019-19781<\/em><\/a> (<em>Citrix NetScaler\/ADC<\/em>) i <em>Log4Shell<\/em> (<a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2021-44228\" target=\"_blank\" rel=\"noopener\"><em>CVE-2021-44228<\/em><\/a>), na naprednije operacije. Ove operacije uklju\u010duju ugro\u017eavanje infrastrukture u oblaku, kra\u0111u pristupnih podataka i dugoro\u010dnu postojanost kroz prikrivene metode nakon ugro\u017eavanja.<\/p>\n<p>Grupa <em>APT41<\/em> sprovodi i sajber \u0161pijuna\u017eu i napade motivisane finansijskom dobiti, pri \u010demu sve \u010de\u0161\u0107e cilja platforme u oblaku poput <em>AWS<\/em>, <em>Azure<\/em>, <em>GCP<\/em> i <em>Alibaba Cloud<\/em> kroz <a href=\"https:\/\/sajberinfo.com\/en\/2022\/01\/02\/phishing-meta-su-ljudi-ne-tehnologija\/\" data-internallinksmanager029f6b8e52c=\"12\" title=\"Phishing: Meta su ljudi, ne tehnologija\" rel=\"nofollow noopener\" target=\"_blank\">prevare kra\u0111om identiteta<\/a>, ugro\u017eavanje lanca snabdijevanja i iskori\u0161tavanje ranjivosti u softveru.<\/p>\n<p>Njene operacije koriste prilago\u0111eni zlonamjerni softver poput alata <em>TOUGHPROGRESS<\/em> i <em>Winnti<\/em> <em>Rootkit<\/em>, uz dozvoljene alate kao \u0161to su <em>PowerShell<\/em> i <em>reg.exe<\/em>, radi kra\u0111e pristupnih podataka i izbjegavanja otkrivanja. Ova grupa cilja vladin, zdravstveni, finansijski i tehnolo\u0161ki sektor \u0161irom Sjedinjenih Ameri\u010dkih Dr\u017eava, jugoisto\u010dne Azije, Evrope i Indije, \u0161to je demonstrirano kampanjama poput <em>Silver Dragon<\/em> (2026).<\/p>\n<p>Njena kombinacija \u0161pijunskih i finansijskih ciljeva, kori\u0161tenje legitimnog softvera u zlonamjerne svrhe i napredne tehnike \u0161ifrovanja razlikuju grupu <em>APT41<\/em> od grupa koje su isklju\u010divo usmjerene na \u0161pijuna\u017eu pod dr\u017eavnim pokroviteljstvom ili na sajber kriminal.<\/p>\n<p>Operacije grupe <em>APT41<\/em> napredovale su ka postojanosti zasnovanoj na oblaku, pri \u010demu koriste prikrivene ta\u010dke ulaza za <em>Linux\/ELF<\/em>, komunikaciju za komandovanje i kontrolu zasnovanu na protokolu <em>SMTP<\/em> i domene sa namjerno <a href=\"https:\/\/sajberinfo.com\/2024\/03\/18\/typosquatting\/\" target=\"_blank\" rel=\"nofollow noopener\">pogre\u0161no napisanim imenima<\/a> (eng. <em>typosquatting).<\/em> Istovremeno, ova grupa odr\u017eava pristup kroz kra\u0111u pristupnih podataka, otkrivanje mre\u017ee i <a href=\"https:\/\/sajberinfo.com\/en\/2023\/11\/09\/lateral-movement\/\" data-internallinksmanager029f6b8e52c=\"14\" title=\"Lateral movement\" rel=\"nofollow noopener\" target=\"_blank\">bo\u010dno kretanje<\/a>.<\/p>\n<p>Njihove aktivnosti isto tako uklju\u010duju napade na lanac snabdijevanja i iskori\u0161tavanje ranjivosti u softveru, \u010dime se omogu\u0107ava brz po\u010detni pristup i trajno ugro\u017eavanje. Uprkos razvoju taktika, preuzimanje pristupnih podataka iz datoteka, internet pregleda\u010da i usluge <em>Active Directory<\/em> ostaje u sredi\u0161tu njihovih operacija. Ovo je dopunjeno tehnikama izbjegavanja otkrivanja, poput pakovanja pomo\u0107u alata <em>Themida<\/em> i brisanja datoteka nakon izvla\u010denja podataka.<\/p>\n<p>Ova kombinacija tehni\u010dke domi\u0161ljatosti, strate\u0161ke prilagodljivosti i dvostrukih motivacija pozicionira grupu <em>APT41<\/em> kao trajnu naprednu prijetnju globalnim organizacijama \u0161irom razli\u010ditih sektora.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"ZAKLJUCAK\"><\/span><strong>ZAKLJU\u010cAK<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Novonastali obrasci u primjeni zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> otkrivaju sistemski trend u kojem se mehanizmi postojanosti na nivou ugra\u0111enog softvera sve vi\u0161e koriste kao oru\u017eje od strane naprednih aktera radi zaobila\u017eenja uobi\u010dajenih slojeva sigurnosti.<\/p>\n<p>Za razliku od uobi\u010dajenog zlonamjernog softvera ograni\u010denog na diskove operativnog sistema, ovaj pristup ugra\u0111uje zlonamjerni k\u00f4d unutar particija <em>EFI<\/em> ili <em>NVRAM<\/em>, \u010dime se uobi\u010dajena ponovna instalacija operativnog sistema \u010dini neefikasnom, \u0161to ote\u017eava napore za forenzi\u010dki oporavak.<\/p>\n<p>Oslanjanje na nedovr\u0161ene korake opoziva, poput neprimijenjenih blokada certifikata za <em>Windows<\/em> <em>Production PCA 2011<\/em>, isti\u010de kriti\u010dnu nejednakost izme\u0111u tehni\u010dkih preporuka za ubla\u017eavanje i praksi administrativnog sprovo\u0111enja \u0161irom ciljanih sektora.<\/p>\n<p>Razvoj zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> od alata za sajber kriminal do instrumenta za \u0161pijuna\u017eu pod dr\u017eavnim pokroviteljstvom nagla\u0161ava \u0161iri pomak u sposobnostima zlonamjernih aktera, pri \u010demu se komercijalna okru\u017eenja zlonamjernog softvera in\u017eenjerski preokre\u0107u ili preusmjeravaju za strate\u0161ke ciljeve.<\/p>\n<p>Ovo uklju\u010duje povezivanje modularnih zlonamjernih korisnih tereta poput alata <em>OxiDLLRunner<\/em> i infrastrukture za komandovanje i kontrolu zasnovane na oblaku, \u010dime se omogu\u0107ava trajno preuzimanje podataka uz istovremeno izbjegavanje otkrivanja na krajnjim ta\u010dkama kroz preusmjeravanje procesa i upravljanje pra\u0107enjem doga\u0111aja za operativni sistem <em>Windows<\/em> (<em>ETW<\/em>).<\/p>\n<p>Ovakva prilago\u0111avanja sugeri\u0161u rastu\u0107e zbli\u017eavanje izme\u0111u alata za sajber kriminal i operacija nacionalnih dr\u017eava, \u010dime se bri\u0161u tradicionalne granice pripisivanja.<\/p>\n<p>Iako koraci za ubla\u017eavanje koje preduzima kompanija <em>Microsoft<\/em> za ranjivosti poput <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2022-21894\" target=\"_blank\" rel=\"noopener\"><em>CVE-2022-21894<\/em><\/a> uklju\u010duju opozivanje certifikata i a\u017euriranja pode\u0161avanja funkcije <em>Secure Boot<\/em>, postojanost zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> pokazuje na koji na\u010din se propusti u ovim procedurama mogu iskoristiti za odr\u017eavanje dugoro\u010dnog pristupa \u010dak i na potpuno a\u017euriranim sistemima.<\/p>\n<p>Upotreba tehnika prikrivanja, poput \u0161ifrovanja zasnovanog na <em>OLLVM<\/em> za zlonamjerne korisne terete, dodatno ote\u017eava lov na prijetnje, pri \u010demu se zlonamjerna aktivnost prikriva unutar stvarnih procesa ili \u0161ifrovanih kontejnera, \u0161to zahtijeva specijalizovane alate za skeniranje ugra\u0111enog softvera radi otkrivanja.<\/p>\n<p>Ono \u0161to ostaje neistra\u017eeno jeste na koji na\u010din bi oslanjanje zlonamjernog softvera za pokretanje sistema <em>BlackX<\/em> <em>UEFI<\/em> na administratorske privilegije i ugro\u017eavanje mre\u017ee moglo uticati na budu\u0107e vektore napada koji ciljaju lance snabdijevanja ugra\u0111enog softvera ili proizvo\u0111a\u010de hardvera.<\/p>\n<p>Kako za\u0161tite funkcije <em>Secure Boot<\/em> postaju sve ukorijenjenije u poslovnim okru\u017eenjima, postavlja se pitanje da li \u0107e se sli\u010dne ranjivosti ponovo pojaviti kroz alternativne puteve iskori\u0161tavanja, ili ova kampanja ozna\u010dava prekretnicu u kojoj se prijetnje na nivou ugra\u0111enog softvera pozicioniraju kao trajno skrivena i jo\u0161 neotkrivena vrata.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"PREPORUKE\"><\/span><strong>PREPORUKE<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Kampanje sajber \u0161pijuna\u017ee, koje isti\u010du upornu prijetnju koju name\u0107e napredni zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em>, pokazuju na koji na\u010din nepotpuni postupci opoziva i prikriveni lanci napada mogu naru\u0161iti kriti\u010dne bezbjednosne za\u0161tite. Mjere navedene u nastavku imaju za cilj ubla\u017eavanje rizika i unapre\u0111enje ukupne otpornosti:<\/p>\n<ol>\n<li>Sprovoditi temeljnu provjeru pode\u0161avanja bezbjednog pokretanja, \u010dime se osigurava da su svi opozivi certifikata (poput onog za certifikat &#8220;<em>Windows Production PCA 2011&#8221;<\/em>) izri\u010dito primijenjeni. Ovo je od klju\u010dnog zna\u010daja, jer \u010dak i a\u017eurirani sistemi ostaju ranjivi ukoliko se koraci opoziva ne sprovedu ru\u010dno, \u0161to omogu\u0107ava zlonamjernim komponentama za pokretanje da zaobi\u0111u za\u0161tite poput onih koje iskori\u0161tava zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em>.<\/li>\n<li>Sprovoditi redovne preglede ugra\u0111enog softvera i particija <em>EFI<\/em> radi otkrivanja neovla\u0161tenih klju\u010deva vlasnika ma\u0161ine (<em>MOK<\/em>) ili izmijenjenog softvera za pokretanje. Sposobnost zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> da ubaci prilago\u0111ene klju\u010deve vlasnika ma\u0161ine (<em>MOK<\/em>) u ugra\u0111eni softver <em>UEFI<\/em> nagla\u0161ava potrebu za neprekidnim pra\u0107enjem ovih komponenti niskog nivoa, koje se \u010desto zanemaruju u tradicionalnim bezbjednosnim procjenama.<\/li>\n<li>Primijeniti softvere za otkrivanje i odgovor na prijetnje (eng. <em>Endpoint Detection and Response \u2013 EDR<\/em>) sa namjenskim mogu\u0107nostima skeniranja <em>UEFI<\/em>. Budu\u0107i da zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> boravi izvan diska operativnog sistema, odnosno u sistemskim particijama <em>EFI<\/em> ili <em>NVRAM<\/em>, uobi\u010dajeni antivirusni softveri ga mo\u017eda ne\u0107e otkriti. Specijalizovana analiza naprednog softvera mo\u017ee rano prepoznati takve uporne prijetnje.<\/li>\n<li>Uspostaviti politike kojima se od administratora zahtijeva da provjere status opoziva i a\u017euriraju baze podataka povjerenja za bezbjedno pokretanje u skladu sa smjernicama kompanije <em>Microsoft<\/em>. Zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> iskoristio je praznine u ovom procesu, \u010dime se nagla\u0161ava da automatsko sprovo\u0111enje a\u017euriranja samo po sebi nije dovoljno bez jasnih ru\u010dnih koraka za opoziv certifikata.<\/li>\n<li>Unaprijediti pra\u0107enje neobi\u010dnih administratorskih aktivnosti, poput neovla\u0161tenog pristupa pode\u0161avanjima ugra\u0111enog softvera ili neo\u010dekivanih promjena u redoslijedu pokretanja. Zlonamjerni akteri koji koriste zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> \u010desto prvo sti\u010du administratorske privilegije, \u010dime se analiza pona\u0161anja \u010dini klju\u010dnim slojem u otkrivanju izvi\u0111anja prije napada ili napora za odr\u017eavanje postojanosti nakon ugro\u017eavanja.<\/li>\n<li>Uklju\u010diti izvore obavje\u0161tajnih podataka o prijetnjama sa platformi u sisteme za upravljanje bezbjednosnim informacijama i doga\u0111ajima (eng. <em>Security Information and Event Management \u2013 SIEM<\/em>) radi prepoznavanja prikrivenih korisnih tereta i znakova ugro\u017eenosti povezanih sa zlonamjernim softverom za pokretanje sistema <em>BlackX UEFI<\/em>. Kori\u0161tenje alata poput <em>OLLVM<\/em> za prikrivanje k\u00f4da u njegovom lancu napada ukazuje na potrebu za naprednim mehanizmima za otkrivanje koji nadilaze pristupe zasnovane na potpisima.<\/li>\n<li>Zahtijevati <a href=\"https:\/\/sajberinfo.com\/en\/2026\/05\/30\/multi-factor-authentication-mfa\/\" data-internallinksmanager029f6b8e52c=\"15\" title=\"Multi-Factor Authentication (MFA)\" rel=\"nofollow noopener\" target=\"_blank\">provjeru identiteta u vi\u0161e koraka<\/a> (<em>MFA<\/em>) za sav administratorski pristup mre\u017enim resursima i okru\u017eenjima ugra\u0111enog softvera. Upotreba zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> obi\u010dno slijedi nakon po\u010detnog ugro\u017eavanja mre\u017ee, pa ograni\u010davanje privilegovanog pristupa putem provjere identiteta u vi\u0161e koraka (<em>MFA<\/em>) mo\u017ee smanjiti rizik od neovla\u0161tene instalacije ili izmjene zlonamjernih komponenti.<\/li>\n<li>Razviti <a href=\"https:\/\/sajberinfo.com\/en\/2020\/10\/26\/plan-odgovora-na-sajber-prijetnju\/\" data-internallinksmanager029f6b8e52c=\"16\" title=\"PLAN ODGOVORA NA SAJBER PRIJETNJU\" rel=\"nofollow noopener\" target=\"_blank\">planove za odgovor na sajber prijetnje<\/a> koji uklju\u010duju procedure za oporavak na nivou ugra\u0111enog softvera. Budu\u0107i da ponovna instalacija operativnog sistema <em>Windows<\/em> ne uklanja zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em>, organizacije moraju pripremiti alate i procese za ponovno pravljenje slike particija <em>EFI<\/em> ili resetovanje pode\u0161avanja <em>NVRAM<\/em> u slu\u010daju ugro\u017eavanja.<\/li>\n<li>Oja\u010dati saradnju sa platformama za obavje\u0161tajne podatke o prijetnjama radi pra\u0107enja statusa opoziva i obrazaca kori\u0161tenja certifikata povezanih sa <em>APT<\/em> grupama koje govore kineski jezik, poput <em>APT41<\/em>. Povezanost zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> sa ovom grupom isti\u010de va\u017enost me\u0111usektorskog dijeljenja znakova ugro\u017eenosti, uklju\u010duju\u0107i opozvane certifikate ili potpise zlonamjernog ugra\u0111enog softvera.<\/li>\n<li>Uvesti obavezu redovnog testiranja pode\u0161avanja bezbjednog pokretanja u okru\u017eenjima visokog rizika (npr. vladin i diplomatski sektor). Organizacije bi trebale simulirati scenarije opoziva i osigurati da svi sistemi mogu izdr\u017eati napade poput onih koje sprovodi zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> bez oslanjanja na neispravljene ranjivosti.<\/li>\n<li>Ograni\u010diti kori\u0161tenje zastarjelih komponenti ili nepotpisanih modula ugra\u0111enog softvera, jer ih zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> \u010desto iskori\u0161tava za zaobila\u017eenje za\u0161tita bezbjednog pokretanja. Blagovremeno ukidanje zastarjelog hardvera i softvera smanjuje <a href=\"https:\/\/sajberinfo.com\/en\/2023\/03\/24\/povrsina-napada-uvod-epizoda-1\/\" data-internallinksmanager029f6b8e52c=\"4\" title=\"Povr\u0161ina napada: Uvod (Epizoda 1)\" rel=\"nofollow noopener\" target=\"_blank\">povr\u0161ine napada<\/a> koje bi se mogle iskoristiti za odr\u017eavanje postojanosti.<\/li>\n<li>Oja\u010dati odbranu protiv tehnika neovla\u0161tenog u\u010ditavanja <em>DLL<\/em> datoteka koje se koriste u lancu instalacije zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em>. Sprovo\u0111enjem strogih politika liste dozvoljenih aplikacija, organizacije mogu sprije\u010diti neovla\u0161tene izvr\u0161ne datoteke da u\u010ditavaju zlonamjerne zavisnosti tokom izvr\u0161avanja.<\/li>\n<li>Formirati namjenski tim ili ulogu usmjerenu na bezbjednost ugra\u0111enog softvera i upravljanje bezbjednim pokretanjem. Slo\u017eenost prijetnji poput zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> zahtijeva specijalizovano znanje za pode\u0161avanje, pra\u0107enje i odgovor na ranjivosti koje tradicionalni timovi informacionih tehnologija mogu previdjeti.<\/li>\n<li>Oja\u010dati saradnju izme\u0111u timova za sajber bezbjednost i dobavlja\u010da ugra\u0111enog softvera radi rje\u0161avanja praznina u izvo\u0111enjima bezbjednog pokretanja. Budu\u0107i da pokreta\u010dki zlonamjerni softver za pokretanje sistema <em>BlackX UEFI<\/em> iskori\u0161tava ranjivosti koje opstaju \u010dak i nakon a\u017euriranja, potrebni su napori na nivou cijele industrije kako bi se osiguralo da se postupci opoziva i upravljanje certifikatima sveobuhvatno sprovode na svim platformama.<\/li>\n<\/ol>\n<p>Uporna prijetnja zlonamjernog softvera za pokretanje sistema <em>BlackX UEFI<\/em> nagla\u0161ava potrebu za strategijom slojevite odbrane koja kombinuje bezbjednost na nivou ugra\u0111enog softvera sa neprekidnim pra\u0107enjem, sprovo\u0111enjem politika i razmjenom obavje\u0161tajnih podataka izme\u0111u sektora. Rje\u0161avanjem i tehni\u010dkih ranjivosti i administrativnih propusta, organizacije mogu zna\u010dajno smanjiti svoju izlo\u017eenost ovakvim naprednim prijetnjama.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Zlonamjerni softver za pokretanje sistema BlackX UEFI, koji se sa srednjim stepenom pouzdanosti pripisuje grupi APT41, zaobilazi mehanizam Windows Secure Boot na potpuno a\u017euriranim sistemima iskori\u0161tavanjem ranjivosti Baton Drop (CVE-2022-21894) radi instalacije prilago\u0111enih klju\u010deva&#46;&#46;&#46;<\/p>","protected":false},"author":1,"featured_media":9828,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[481,4666,139,1550,644,140,93,3722,54,3950,279,3056,278,3598,76],"class_list":["post-9823","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hronike","tag-apt41","tag-blackx","tag-bootkit","tag-cyber-threats","tag-cybersecurity","tag-firmware","tag-malware","tag-racunarska-sigurnost","tag-sajber-bezbjednost","tag-sajber-spijunaza","tag-secure-boot","tag-threat-detection","tag-uefi","tag-zastita-sistema","tag-zlonamjerni-softver"],"_links":{"self":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9823","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/comments?post=9823"}],"version-history":[{"count":8,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9823\/revisions"}],"predecessor-version":[{"id":9832,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9823\/revisions\/9832"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media\/9828"}],"wp:attachment":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media?parent=9823"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/categories?post=9823"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/tags?post=9823"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}