ΠΑΤΑΣ ΤΟ ΚΟΥΜΠΙ. Ο ανεμιστήρας παίρνει μπρος, η οθόνη ανάβει, εμφανίζεται το λογότυπο των Windows και λίγο μετά το antivirus δείχνει ότι όλα είναι εντάξει. Μόνο που κάτι έχει ήδη ξυπνήσει πριν από όλα αυτά, και έχει φροντίσει να παραμείνει αόρατο.
Το 2022, ένα τέτοιο εργαλείο πουλιόταν σε φόρουμ χάκερ για 5.000 δολάρια. Στις αρχές του 2026, μια εκσυγχρονισμένη εκδοχή του βρέθηκε σε υπολογιστές διπλωματικών οργανισμών στην Κεντρική Ασία, και η Kaspersky την αποδίδει σε μία από τις πιο γνωστές ομάδες κρατικής κατασκοπείας στον κόσμο.
Ο Georgy Kucherin πήρε το πτυχίο του φέτος. Το Security Analyst Summit της Kaspersky στο Μπαλί ήταν όμως, όπως λέει, το τέταρτο SAS του: είχε μιλήσει στη διοργάνωση ήδη το 2021, όταν έγινε διαδικτυακά. Φέτος ανέβηκε στη σκηνή με την έρευνα της ομάδας GReAT για το BlackX, ένα UEFI bootkit που χρησιμοποιήθηκε για κατασκοπεία σε διπλωματικούς οργανισμούς.
Για να καταλάβει κανείς γιατί έχει σημασία, πρέπει πρώτα να καταλάβει τι είναι το UEFI. «Είναι κάτι που αρχίζει να δουλεύει μόλις ανοίξει ο υπολογιστής, μόλις πατήσεις το κουμπί του ρεύματος», λέει ο Kucherin στο WIRED Greece μετά την ομιλία του στο Μπαλί. Το κακόβουλο λογισμικό που βρήκε η ομάδα του δουλεύει ακριβώς σε αυτό το επίπεδο. «Επειδή βρίσκεται τόσο νωρίς στην αλυσίδα εκκίνησης, μπορεί να χειραγωγήσει πολλά στοιχεία του συστήματος».
Αυτό εξηγεί και γιατί τα bootkits θεωρούνται από τις πιο δύσκολες απειλές να εντοπιστούν. Ξεκινούν πριν από το λογισμικό ασφαλείας. «Μπορεί να χειραγωγήσει το λειτουργικό σύστημα, μπορεί να χειραγωγήσει τα προγράμματα ασφαλείας που είναι εγκατεστημένα, επειδή βρίσκεται εκεί πριν αρχίσει να φορτώνει οτιδήποτε άλλο».
Το BlackX είναι, κατά την Kaspersky, μια εκσυγχρονισμένη εκδοχή του BlackLotus, του bootkit που η ESET τεκμηρίωσε το 2023 και που παρέκαμπτε το Secure Boot ακόμη και σε πλήρως ενημερωμένα Windows 11. Η Microsoft κυκλοφόρησε τότε ενημερώσεις, αλλά οι προστασίες δεν ενεργοποιούνται από προεπιλογή. «Αν δεν τις ενεργοποιήσεις με το χέρι, δεν παρέχουν καμία προστασία», λέει ο Kucherin. Οι οδηγίες, προσθέτει, είναι θαμμένες σε ένα άρθρο 5.000 λέξεων.
Γιατί να σχεδιάσει έτσι η Microsoft μια διόρθωση ασφαλείας; Επειδή η πλήρως αυτόματη λύση είχε δικό της ρίσκο. «Ένα patch που θα δούλευε εντελώς αυτόματα θα μπορούσε να χαλάσει υπολογιστές. Δεν θα μπορούσαν πια να εκκινήσουν, και αυτό θα ήταν καταστροφή», εξηγεί. Ο συμβιβασμός όμως άφησε οργανισμούς απροστάτευτους. Η Microsoft έχει πει ότι σχεδιάζει αυτόματη ενημέρωση «σύντομα». «Εγώ θα την είχα κυκλοφορήσει νωρίτερα», λέει ο Kucherin. «Όπως βλέπουμε, είναι ήδη αργά».
Οι επιτιθέμενοι, κατά την Kaspersky, κατάλαβαν ακριβώς αυτό το κενό και αποφάσισαν να ξαναγράψουν το BlackLotus σε πιο ισχυρή μορφή. Πώς ξέρει η ομάδα ότι το ανέλυσαν αντίστροφα (reverse engineering) και δεν αντέγραψαν απλώς κώδικα; Ο πηγαίος κώδικας του BlackLotus διέρρευσε τον Ιούλιο του 2023, αλλά ελλιπής. «Δεν βρήκαμε online τον κώδικα των στοιχείων του BlackLotus που εντοπίσαμε», λέει ο Kucherin. Η ομάδα βρήκε όμως στο BlackX αντίστοιχα ίχνη. Δεν αποκλείει να αγόρασαν τον κώδικα, αλλά θεωρεί το reverse engineering την πιθανότερη εξήγηση.
Τα θύματα ήταν διπλωματικοί οργανισμοί στο Τατζικιστάν, το Ουζμπεκιστάν και το Τουρκμενιστάν, σε επιθέσεις που εντοπίστηκαν στις αρχές του 2026. Το bootkit δεν ήταν ο τρόπος εισόδου. «Το εγκαθιστούν ως τελευταίο στάδιο», λέει ο Kucherin. Οι επιτιθέμενοι είχαν ήδη μπει στους υπολογιστές και είχαν δικαιώματα διαχειριστή. Το BlackX τους χρησίμευε για να μείνουν κρυμμένοι, ώστε «να υπάρχουν λιγότερες πιθανότητες να τους ανακαλύψουν».
Ο σκοπός ήταν η κατασκοπεία. Η επίθεση έγινε αθόρυβα, «αόρατη με γυμνό μάτι», με στόχο να διαρρεύσουν ευαίσθητες πληροφορίες που θα μπορούσαν να χρησιμοποιηθούν, για παράδειγμα, σε διαπραγματεύσεις. «Σε μια επίθεση κατασκοπείας δεν μαθαίνεις ποτέ ότι συνέβη», είχε πει στην ομιλία του, «μέχρι να καθίσεις στο τραπέζι των διαπραγματεύσεων και να καταλάβεις ότι η άλλη πλευρά ξέρει πράγματα που δεν θα έπρεπε».
Η Kaspersky αποδίδει την επίθεση με μέτρια βεβαιότητα στην κινεζόφωνη ομάδα APT41, γνωστή για επιθέσεις σε όλο τον κόσμο. Ο Kucherin παραπέμπει σε αναφορές άλλων εταιρειών, κυρίως της ESET, και σε τεχνικές που χρησιμοποιούν συχνά κινεζόφωνες ομάδες. Η ESET είχε περιγράψει εργαλεία της ομάδας FishMonger, που θεωρείται μέρος της «ομπρέλας» της APT41. Ένα αναγνωριστικό από εκείνη την αναφορά, το «xdd», εμφανίζεται στο BlackX.
Τι μπορεί να κάνει ένα υπουργείο ή μια πρεσβεία; Ο Kucherin, ως ερευνητής της Kaspersky, απαντά με τα προϊόντα ασφαλείας: να τα έχουν όλες οι συσκευές του προσωπικού, γιατί μπορούν να προστατεύσουν ακόμη και όταν οι ενημερώσεις δεν έχουν εγκατασταθεί ή, όπως εδώ, δεν έχουν ρυθμιστεί σωστά. Η ανακοίνωση της Kaspersky προτείνει επίσης στα τμήματα πληροφορικής να ολοκληρώσουν με το χέρι τα βήματα της Microsoft και να περιορίσουν τα δικαιώματα διαχειριστή. Το BlackX είχε μάλιστα ειδικό κώδικα για να «τυφλώνει» τα προϊόντα της Kaspersky.
Ένα bootkit σαν το BlackX ταιριάζει σε στόχους υψηλού επιπέδου, μέλη κυβερνήσεων και διπλωμάτες. Αυτό δεν σημαίνει ότι όλοι οι άλλοι είναι ασφαλείς. Θα μπορούσε, για παράδειγμα, να χρησιμοποιηθεί εναντίον ενός δημοσιογράφου; «Σίγουρα», απαντά ο Kucherin. «Όλοι νομίζουν ότι δεν είναι σημαντικοί, μέχρι να τους επιτεθεί ένας εξελιγμένος δράστης που πιστεύει ότι είναι».
Για έναν δημοσιογράφο, εξηγεί, οι προσωπικές του συσκευές μπορούν να γίνουν η πόρτα για το δίκτυο του μέσου όπου δουλεύει, ή ο τρόπος για να παρακολουθεί κάποιος τι κάνουν οι συνάδελφοί του. «Οι κρατικά υποστηριζόμενοι δράστες έχουν πολύ ευρείς στόχους».
Και ο απλός χρήστης, που δεν ξέρει τίποτα από ασφάλεια, μπορεί να καταλάβει ότι έχει bootkit στον υπολογιστή του; Μόνο αν έχει εγκαταστήσει λογισμικό ασφαλείας, λέει ο Κουτσέριν.
Το ασυνήθιστο σε αυτή την ιστορία είναι η κατεύθυνση. Το BlackLotus πουλιόταν σε φόρουμ χάκερ για 5.000 δολάρια από το 2022. «Υποτίμησαν πολύ την τιμή του», λέει ο Kucherin για τους πωλητές του. Όταν το BlackLotus εντοπίστηκε, όλοι το ξέχασαν, μέχρι να βρει η ομάδα του αυτή την επίθεση. Οι κοινοί εγκληματίες σπάνια χρησιμοποιούν τέτοιες τεχνικές. Και είναι σπάνιο, προσθέτει, μια κρατική ομάδα με πολλά χρήματα να μαθαίνει κάτι από εγκληματίες που πούλησαν ένα bootkit στο dark web για «ψίχουλα».
Το AI αλλάζει ήδη αυτή την εξίσωση. «Παλιότερα, αν ήθελες να γράψεις ένα τέτοιο implant, έπρεπε να διαβάσεις πολλά βιβλία για ανάπτυξη λογισμικού, για τα εσωτερικά του λειτουργικού, για το firmware», λέει. «Τώρα το AI μπορεί να σου τα εξηγήσει όλα και να γράψει τον κώδικα». Το ίδιο όμως επιταχύνει και τους αμυνόμενους. Το παιχνίδι μένει ίδιο, απλώς παίζεται πιο γρήγορα.
Αυτό δεν σημαίνει ότι όποιος έχει ένα chatbot μπορεί να στήσει μια εξελιγμένη επίθεση. «Αν δεν ξέρεις τη θεωρία από πίσω και αφήσεις το AI να τα κάνει όλα, το πιθανότερο είναι να κάνεις λάθος, και η επιχείρησή σου θα αποτύχει».
Ποιος κερδίζει, λοιπόν; «Κανείς», λέει ο Kucherin. «Από τη δεκαετία του ’90, από τότε που άρχισε να εμφανίζεται κακόβουλο λογισμικό, αυτός ο ανταγωνισμός συνεχίζεται χωρίς νικητή».
Με την εγγραφή σας, συμφωνείτε με τους Όρους Χρήσης μας (συμπεριλαμβανομένης της παραίτησης από ομαδικές αγωγές και των διατάξεων διαιτησίας) και αναγνωρίζετε την Πολιτική Απορρήτου μας.
