الأمن التقني

برمجية BlackX تستغل ثغرة Baton Drop لتجاوز الحماية

كشفت أبحاث أمنية حديثة عن ظهور برمجية إقلاع خبيثة تحمل اسم BlackX، والتي استُخدمت في حملة تجسس استهدفت مؤسسات دبلوماسية، مستغلة ثغرة معروفة لتجاوز آليات الأمان في أنظمة التشغيل.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 24 أكتوبر 2026 · آخر تحديث: 24 أكتوبر 2026 · 4 دقائق قراءة

برمجية BlackX تستغل ثغرة Baton Drop لتجاوز الحماية — الصورة: BleepingComputer

تفاصيل حملة التجسس واستهداف آسيا الوسطى

مع مطلع عام 2026، رصد الباحثون الأمنيون حملة تجسس سيبراني استهدفت بشكل رئيسي وكالات دبلوماسية في منطقة آسيا الوسطى، وتحديداً في دول مثل طاجيكستان وأوزبكستان وتركمانستان. وقد اعتمدت هذه الحملة على برمجية إقلاع خبيثة جديدة (UEFI bootkit) أُطلق عليها اسم BlackX، هدفها الأساسي تجاوز آليات الحماية التقليدية وتحميل برمجيات ضارة خفية في عمق النظام. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

أشارت التحليلات التقنية إلى وجود ارتباط محتمل، وبدرجة ثقة متوسطة، بين هذه الهجمات ومجموعة التهديد السيبراني المعروفة باسم APT41، وهي مجموعة صينية ترعاها الدولة وتُعرف بعدة أسماء أخرى مثل Brass Typhoon وWicked Panda وBarium، بحسب ما ورد في تقارير التقنية الحديثة وتحليلات الشركات المختصة.

استغلال ثغرة Baton Drop والتشابه مع BlackLotus

بحسب ما أوضحته تحليلات شركة Kaspersky، فإن برمجية BlackX تعتمد في عملها على استغلال ثغرة قديمة تُعرف باسم Baton Drop وتحمل المرمز (CVE-2022-21894)، وهي الثغرة نفسها التي جرى استغلالها سابقاً في برمجيات خبيثة أخرى مثل BlackLotus التي ظهرت لأول مرة على منتديات القراصنة في أكتوبر 2022.

كانت شركة ESET قد أكدت في شهر مارس من عام 2023 أن برمجية BlackLotus قادرة على تجاوز ميزة الأمان Secure Boot حتى على أنظمة ويندوز 11 التي تتلقى التحديثات الأمنية بالكامل. وقد لاحظ الباحثون أن تطبيق الثغرة في برمجية BlackX يتطابق بشكل لافت للنظر مع الأسلوب الذي استخدمته BlackLotus، مما يتيح للمهاجمين تسجيل مفاتيح مالك الجهاز المخصصة (MOKs) وتحميل ملفات EFI عشوائية.

أصل الشفرة المصدرية الغامضة وعلاقتها بالتسريبات

على الرغم من الاختلافات القائمة بين BlackX وبرمجية BlackLotus من حيث نوعية برامج تشغيل النواة والحمولات اللاحقة التي تنشرها، إلا أن الخبراء يرجحون أن مطوري BlackX استمدوا شفرتهم إما عبر الهندسة العكسية لـ BlackLotus أو من خلال الحصول على شفرتها المصدرية بشكل مباشر.

يُذكر أنه عندما سُربت الشفرة المصدرية الخاصة ببرمجية BlackLotus على منصة GitHub في يوليو 2023، تبين لاحقاً أن هذا الإصدار كان غير مكتمل وتنقصه بعض الأجزاء البرمجية الهامة.

ومع ذلك، لاحظ باحثو Kaspersky أن بعض عينات BlackX التي جرى تحليلها احتوت على أجزاء برمجية غير موجودة في المستودع العام المذكور، مما يعزز الفرضية القائلة بأن الجهات المهاجمة إما قامت بهندسة عكسية متقدمة أو تمكنت من الاستحواذ على النسخة الأصلية الكاملة.

آليات التخفي والتشويش على البرمجيات الأمنية

تقوم برمجية BlackX بحقن برنامج تشغيل نواة خبيث لويندوز، يحمل توقيعاً رقمياً صادراً عن جهة تُدعى (Wenjiang District Mingyu Network Technology Service Studio)، وقد تعرض هذا التوقيع للإبطال لاحقاً. يعمل برنامج التشغيل هذا على تعطيل العمليات المرتبطة بالأمان ومراقبة السجل، إضافة إلى العبث بموفرات تتبع الأحداث لنظام ويندوز (ETW) لإعاقة عمليات المراقبة والرصد.

تشير التحليلات التقنية المتاحة من تغطية BleepingComputer إلى أن بعض إجراءات العبث والتلاعب مبرمجة للعمل حصراً في حال رصد برمجيات الحماية التابعة لشركتي Kaspersky أو Avast على الجهاز المستهدف، في حين تفقد هذه الآليات فعاليتها ضد حلول أخرى.

إلى جانب ذلك، يحمي برنامج التشغيل ملفات برمجية الإقلاع عبر اعتراض طلبات المستخدمين لفتحها، ليقوم بدلاً من ذلك بتشغيل تطبيق الآلة الحاسبة (Windows Calculator) في سلوك تمويهي واضح.

حمولات التجسس وثغرات عملية التحديث اليدوي

تهدف البرمجية أيضاً إلى نشر حمولات تجسس إضافية على الأجهزة المخترقة، تشمل برمجية تحكم عن بعد (RAT) تستخدم خدمات تخزين سحابية شهيرة مثل Google Drive وOneDrive وYandex.Disk للتحكم والاتصال (C2)، وتنفيذ حمولات .NET ورفع وتنزيل الملفات.

كما تضم الحمولات أداة تُعرف بـ OxiDLLRunner وهي ملف DLL مموه يعمل عبر عملية sideloading بواسطة الملف googleupdate.exe، لفك تشفير ملفات معينة وإطلاق شفرات برمجية ومكونات بلغة Rust لجلب ملحقات إضافية من نطاق خارجي.

من جهة أخرى، لفتت التقارير إلى أن ضحايا BlackX كانوا يستخدمون إصدارات ويندوز محدثة بالكامل، ورغم ذلك نجحت الهجمات لأن مسؤولي الأنظمة لم يقوموا بتفعيل الإبطالات الإضافية المخصصة لـ Secure Boot بشكل يدوي.

تتطلب المعالجة الكاملة لثغرة Baton Drop إبطال شهادة تُعرف بـ (Windows Production PCA 2011)، وهي عملية لا تتم تلقائياً عند تثبيت التحديثات العادية، مما يخلق ثغرة في إجراءات التحديث يستغلها المهاجمون، حيث تتوفر إرشادات المعالجة التفصيلية عبر قنوات الدعم الفني الرسمية للمطورين.