Nhiều người dùng PC và game thủ vẫn tin rằng việc bật Secure Boot kết hợp cài đặt bản vá Windows Update mới nhất là đủ để miễn nhiễm trước mọi loại virus khởi động. Tuy nhiên, sự xuất hiện của dòng mã độc UEFI bootkit nguy hiểm mang tên BlackX vừa dội một gáo nước lạnh vào niềm tin đó, khi nó có thể xuyên thủng lớp phòng thủ vững chắc nhất của Windows 11 bằng những chiêu thức cực kỳ tinh vi.
Hiểm họa mang tên BlackX – Hậu duệ nguy hiểm của mã độc BlackLotus
Theo các báo cáo an ninh mạng mới nhất được công bố vào cuối tháng 10/2026 bởi các chuyên gia bảo mật từ Kaspersky và BleepingComputer, một loại mã độc khởi động cấp firmware hoàn toàn mới mang tên BlackX đã bị phát hiện đang phát tán trong các chiến dịch tấn công có chủ đích. Điểm đáng sợ nhất của BlackX là nó nhắm thẳng vào Secure Boot – tính năng bảo mật phần cứng bắt buộc trên Windows 11 vốn được thiết kế để ngăn chặn mọi phần mềm độc hại khởi chạy trước khi hệ điều hành nạp xong.
Các nhà nghiên cứu khẳng định BlackX có sự tương đồng đáng kinh ngạc với BlackLotus – dòng bootkit từng làm rung chuyển thế giới bảo mật vào năm 2023. Để thâm nhập vào tầng sâu nhất của bo mạch chủ, BlackX khai thác lỗ hổng mang tên “Baton Drop” (định danh CVE-2022-21894). Thông qua lỗ hổng này, mã độc tự ý đăng ký các khóa máy chủ (Machine Owner Keys – MOK), từ đó ép hệ thống tải các tập tin EFI độc hại ngay từ khi người dùng vừa nhấn nút nguồn bật máy.
Quái chiêu bật ứng dụng Calculator để che mắt người dùng và phần mềm diệt virus
Không dừng lại ở việc kiểm soát quá trình khởi động, BlackX còn sở hữu những kỹ thuật qua mặt cực kỳ quái chiêu khiến ngay cả những game thủ am hiểu công nghệ cũng dễ bị đánh lừa. Sau khi vượt qua Secure Boot, mã độc này tiêm một driver độc hại vào thẳng nhân hệ điều hành (Windows Kernel). Driver này được ký bằng một chứng chỉ số của công ty công nghệ có tên Wenjiang District Mingyu Network Technology Service Studio.
Sau khi chiếm quyền kiểm soát nhân hệ thống, BlackX vô hiệu hóa các tiến trình giám sát và cơ chế Event Tracing for Windows (ETW), khiến các phần mềm diệt virus không thể ghi nhận bất kỳ hoạt động bất thường nào. Đặc biệt, để ngăn chặn người dùng hoặc chuyên gia bảo mật truy cập vào các tập tin mã độc trong ổ cứng, driver của BlackX sẽ chặn đứng lệnh mở file và tự động bật ứng dụng máy tính… Windows Calculator (calc.exe)!
Nếu một ngày bạn nghi ngờ máy tính có file lạ, nhấn mở ra kiểm tra nhưng màn hình lại chỉ hiện lên chiếc máy tính tính tiền quen thuộc của Windows, rất có thể hệ thống của bạn đã bị mã độc chiếm quyền kiểm soát tầng sâu.
Bên cạnh đó, BlackX còn triển khai hai loại mã độc gián điệp chạy ngầm:
- Một Trojan truy cập từ xa (RAT) chuyên sử dụng các dịch vụ lưu trữ đám mây quen thuộc như Google Drive, OneDrive và Yandex.Disk làm máy chủ điều khiển (C2) để tải xuống các tệp lệnh và đánh cắp dữ liệu cá nhân mà không bị tường lửa nghi ngờ.
- Module độc hại OxiDLLRunner thực hiện kỹ thuật DLL Sideloading thông qua tiến trình hợp pháp googleupdate.exe để nạp mã thực thi viết bằng ngôn ngữ Rust, sẵn sàng nhận thêm các plugin tấn công từ xa.
Nghịch lý máy tính đã cập nhật Windows Update vẫn dính đòn
Nhiều người sẽ tự hỏi: Lỗ hổng Baton Drop đã được Microsoft phát hiện từ lâu, tại sao các cỗ máy Windows 11 hiện đại đã cập nhật đầy đủ vẫn bị mã độc xuyên thủng?
Câu trả lời nằm ở một khoảng trống trớ trêu trong cách triển khai bản vá của Microsoft. Bản vá của hãng thực chất được thiết kế để thu hồi chứng chỉ số “Windows Production PCA 2011” – chứng chỉ dùng để ký các thành phần UEFI cũ bị lỗi thời. Tuy nhiên, việc thu hồi này không hề diễn ra tự động khi bạn nhấn nút “Check for Updates” trên Windows! Do lo ngại việc thu hồi tự động có thể làm tê liệt các hệ thống cài song song nhiều hệ điều hành (Dual-Boot), Microsoft yêu cầu quản trị viên và người dùng phải tự tay kích hoạt lệnh thu hồi chứng chỉ qua Registry và Scheduled Task.
Hậu quả là hàng triệu máy tính cá nhân trên toàn cầu, dù trên giao diện hiển thị trạng thái “You’re up to date”, thực chất vẫn mang trong mình khe hở chết người cho phép những mã độc như BlackX khai thác. Chứng chỉ cũ dù đã hết hạn vào ngày 19/10/2026 vừa qua, nhưng nếu không được đưa vào danh sách đen (DBX), hệ thống vẫn thản nhiên cho phép nạp các tập tin EFI chứa mã độc.
Game thủ và người dùng PC cần làm gì ngay để tự bảo vệ?
Đối với cộng đồng game thủ và người dùng máy tính cá nhân, việc bị nhiễm bootkit UEFI là kịch bản tồi tệ nhất, bởi việc cài lại Windows thông thường hay format ổ cứng đều không thể làm sạch được mã độc nằm ở phân vùng EFI.
Để giữ an toàn cho dàn PC của mình, bạn nên thực hiện ngay các nguyên tắc sau:
- Nói không với phần mềm crack và tool gian lận game: BlackX chỉ có thể cài đặt sau khi kẻ tấn công có được quyền quản trị viên (Admin). Con đường phổ biến nhất lây nhiễm vào máy tính cá nhân là thông qua các bộ cài đặt game lậu, phần mềm bẻ khóa, hoặc các bản mod/hack game trôi nổi trên mạng.
- Cập nhật BIOS/UEFI từ nhà sản xuất bo mạch chủ: Thường xuyên truy cập trang chủ của hãng sản xuất bo mạch chủ (ASUS, MSI, Gigabyte, ASRock…) để cập nhật phiên bản BIOS mới nhất chứa danh sách thu hồi khóa DBX cập nhật.
- Kích hoạt tính năng bảo vệ nâng cao của Windows 11: Bật tính năng Memory Integrity (Core Isolation) và Kernel-mode Hardware-enforced Stack Protection trong mục Windows Security để ngăn chặn các driver độc hại can thiệp vào nhân hệ thống.
- Kiểm tra quyền hạn người dùng: Không đăng nhập tài khoản Windows hàng ngày với quyền Administrator tối cao để hạn chế khả năng mã độc tự ý can thiệp vào phân vùng hệ thống EFI.
