BlackX利用Baton Drop旧漏洞绕过Secure Boot，跨境办公终端需关注启动安全

据BleepingComputer于2026年10月24日发布的报道，一款名为BlackX的新型UEFI bootkit曾在2026年初的一场间谍活动中被部署。来源显示，攻击者利用此前已存在的Baton Drop漏洞绕过Secure Boot，并加载恶意驱动，意图干扰卡巴斯基与Avast的安全解决方案。对使用同一台电脑处理海外平台账号、跨境支付和远程工作的用户而言，这起事件提示：开启Secure Boot并不意味着终端启动链绝对安全。

BlackX的关键风险：绕过启动保护并干扰安全软件

UEFI bootkit所涉及的是设备启动阶段的安全问题，而非单一网页、浏览器插件或普通应用的异常。Secure Boot的作用是帮助验证启动组件的可信性；此次报道的关键在于，BlackX借助Baton Drop这一旧漏洞绕过了这道保护，并进一步加载恶意驱动。

据来源摘要，该驱动的目标是干扰卡巴斯基和Avast的安全解决方案。这里需要区分攻击意图与实际结果：摘要没有说明所有相关产品都会受到影响，也未给出具体版本、受害设备数量或完整攻击条件，因此不能据此认定安装这些软件的用户已经失守。可以明确的是，攻击者试图从启动链及驱动层面削弱终端防护，而不只是规避一次文件扫描。

跨境账号与支付的影响：网络通道不能替代设备可信

跨境用户通常更关注连接是否稳定、登录地区是否变化、支付页面能否正常打开。但如果设备本身受到底层恶意程序影响，即使网络连接正常，也不能据此确认登录和交易环境可靠。访问环境安全不仅取决于出口网络，也取决于操作系统及其启动链是否可信。

来源没有提及BlackX已窃取海外平台账号、支付资料或远程办公凭证，不能把这些后果当作本次事件的既定事实。不过，从风险管理角度看，承载邮箱、企业后台、云服务和收付款操作的电脑一旦被怀疑失陷，就应优先核查设备，再考虑继续处理敏感业务。VPN可以用于部分连接需求，但不能修复UEFI漏洞，也不能清除启动层恶意程序。

用户与远程团队可以优先检查什么

• 检查设备厂商发布的固件及安全公告，确认是否存在适用更新；不要仅凭Secure Boot显示已开启就结束排查。
• 保持操作系统和安全软件更新。若防护组件异常停用、驱动加载异常或告警反复出现，应交由可信技术人员核查。
• 对管理海外店铺、广告账户及支付后台的终端，尽量减少不必要的软件与驱动安装，并遵循企业设备管理要求。
• 如果已有可信证据表明终端失陷，应从可信设备处理敏感账号，检查登录记录、撤销可疑会话，并按平台流程保护账户。

上述措施属于通用防护建议，并非针对BlackX的已验证清除方案。旧漏洞仍可能被用于新的间谍活动，是此次报道最值得跨境用户留意的信号。对远程团队来说，账号安全策略不应只覆盖密码、多因素认证和网络接入，还应将固件维护、终端状态检查与异常处置纳入日常流程。