كشف فريق البحث والتحليل العالمي في كاسبرسكي (GReAT) عن برمجية إقلاع خبيثة متطورة تحمل اسم BlackX، استُخدمت في محاولة لاستهداف مؤسسات دبلوماسية في آسيا الوسطى، مستغلة ثغرة في آلية تطبيق أحد التحديثات الأمنية التي أصدرتها شركة مايكروسوفت.

وبحسب تحقيقات كاسبرسكي، نُسبت الحملة بدرجة ثقة متوسطة إلى مجموعة القرصنة الإلكترونية APT41، فيما تُمثل BlackX نسخة مطورة من برمجية BlackLotus الخبيثة، المعروفة بقدرتها على تجاوز إجراءات الحماية خلال بدء تشغيل أجهزة الكمبيوتر.

BlackX تتجاوز حماية Windows وتستغل ثغرة أمنية

في أوائل عام 2026، نجحت حلول كاسبرسكي الأمنية في إحباط هجوم إلكتروني استهدف مؤسسات دبلوماسية في آسيا الوسطى. وكشف التحقيق اللاحق أن المهاجمين استخدموا BlackX، المصممة لتجاوز دفاعات بدء تشغيل نظام Windows وعدد من حلول الحماية التابعة لجهات خارجية، مع الحفاظ على وصول خفي وطويل الأمد إلى الأجهزة المستهدفة.

وأوضحت الشركة أن البرمجية تمثل إصدارًا حديثًا من BlackLotus، التي عُرضت للبيع في الأسواق الإجرامية على الإنترنت المظلم عام 2022. وتستطيع BlackX تجاوز ميزة Secure Boot المسؤولة عن ضمان تشغيل البرامج الموثوقة عند بدء تشغيل الكمبيوتر، وذلك من خلال استغلال ثغرة معروفة باسم Baton Drop.

ورغم إصدار مايكروسوفت تحديثًا لمعالجة هذه الثغرة، فإن تفعيل الحماية بالكامل يتطلب من مسؤولي الأنظمة تنفيذ خطوات إعداد يدوي إضافية. وبقاء هذه الخطوات دون تنفيذ لدى العديد من المؤسسات أبقى أنظمتها عرضة للاستغلال، حتى مع تثبيت التحديث الأمني.

كاسبرسكي تحبط محاولة تعطيل الحماية الأمنية

أظهر التحقيق أن المهاجمين نشروا BlackX كبرمجية خبيثة إضافية بعد اختراق الشبكات الداخلية للضحايا والحصول على صلاحيات إدارية على أجهزة Windows. ولإخفاء أنشطتهم، استخدموا ملفات مشفرة وبرامج تثبيت مخصصة لتوصيل مكونات البرمجية إلى الأجهزة المستهدفة مع تقليل فرص اكتشافها.

وبعد نجاح الاستغلال، تحاول BlackX تشغيل مكون لتعطيل برامج الحماية الأمنية. إلا أن حلول حماية الأجهزة الطرفية من كاسبرسكي منعت محاولة البرمجية تعطيلها، ما أدى إلى إحباط الهجوم.

وكان المهاجمون سيحاولون، في حال نجاحهم في تعطيل الحماية، تشغيل برمجية تجسس تستغل خدمات سحابية شرعية، من بينها Google Drive وOneDrive وYandex Disk، لسرقة المعلومات السرية ومراقبة أنشطة الضحايا.

وقال جورجي كوتشيرين، خبير الأمن في فريق GReAT لدى كاسبرسكي، إن ظهور BlackX يلفت الانتباه إلى استعانة مجموعات التهديدات المتقدمة بأكواد أو أفكار من أدوات الجرائم الإلكترونية، موضحًا أن تطوير أداة تجارية خبيثة مثل BlackLotus مكّن المهاجمين من تجاوز إجراءات حماية عملية إقلاع Windows، دون الحاجة إلى ابتكار أساليب جديدة بالكامل.

وقد عُرضت نتائج البحث خلال مؤتمر قمة محللي الأمن Security Analyst Summit 2026، الذي استضافته بالي في إندونيسيا.

توصيات لمواجهة التهديد

دعت كاسبرسكي المؤسسات إلى التأكد من تنفيذ فرق تكنولوجيا المعلومات الخطوات اليدوية التي توصي بها مايكروسوفت لمعالجة ثغرة Baton Drop والثغرات المشابهة، إلى جانب تقييد الصلاحيات الإدارية واستخدام حلول أمنية قادرة على مراقبة سلامة البرامج الثابتة (Firmware).

وأشارت الشركة إلى أن مكون منع الاستغلال (Exploit Prevention) ضمن حلول حماية الأجهزة الطرفية لديها يساعد على منع تنفيذ الاستغلالات، حتى في حال عدم تطبيق التحديث الأمني أو عند التعامل مع ثغرات يوم الصفر التي لم يتوافر لها تحديث بعد.