Bootkit BlackX infecta Windows atualizado ao driblar brecha no Secure Boot
O bootkit BlackX conseguiu se instalar em máquinas Windows totalmente atualizadas ao explorar uma etapa de revogação de certificado que a Microsoft não aplica automaticamente. Pesquisadores associam a campanha ao grupo APT41, com foco em órgãos diplomáticos da Ásia Central.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Pesquisadores da Securelist, laboratório de pesquisa da fabricante de antivírus Kaspersky, identificaram um novo bootkit UEFI batizado de BlackX, capaz de infectar computadores com Windows mesmo quando todas as atualizações de segurança estavam instaladas. O malware explora a "Baton Drop" (CVE-2022-21894), uma falha antiga no gerenciador de inicialização do Windows corrigida pela Microsoft em 2022, mas cuja proteção completa depende de uma etapa manual que praticamente ninguém executa: revogar a confiança no certificado "Windows Production PCA 2011", usado para assinar versões vulneráveis do bootloader.
Segundo a Kaspersky, instalar a atualização de segurança e aplicar essa revogação são passos separados no processo — e a Microsoft optou por não tornar a revogação automática, com medo de que dispositivos sem as atualizações necessárias ficassem impossibilitados de inicializar. Com isso, mesmo sistemas "totalmente corrigidos" continuam aceitando bootloaders antigos e vulneráveis, abrindo a porta para o BlackX carregar um driver malicioso diretamente no kernel do Windows, antes mesmo de mecanismos de segurança do sistema entrarem em ação.
Procurada, a Microsoft afirmou que o uso do bootkit por um atacante funciona principalmente como mecanismo de persistência e evasão de defesa, não como vetor de acesso inicial — ou seja, só pode ser instalado em um dispositivo ao qual o invasor já tenha obtido acesso privilegiado ou físico. A empresa orienta clientes a seguir as instruções de um artigo de suporte publicado para aplicar manualmente a revogação do certificado.
Quem é afetado
Até o momento, a Kaspersky observou a campanha, atribuída com confiança média ao grupo associado à China conhecido como APT41, mirando organizações diplomáticas no Tajiquistão, Uzbequistão e Turcomenistão, no início de 2026. Como o bootkit exige acesso administrativo prévio à máquina, o risco maior recai sobre redes corporativas e governamentais que já sofreram alguma invasão anterior — não sobre o usuário doméstico comum.
O que fazer agora
- Verificar se a revogação do certificado "Windows Production PCA 2011" na lista DBX (Forbidden List) do Secure Boot já foi aplicada manualmente, e não apenas a atualização de segurança.
- Consultar o artigo de suporte da Microsoft sobre a mitigação da Baton Drop e seguir o passo a passo de ativação da revogação.
- Monitorar logs de inicialização e firmware em busca de arquivos suspeitos não assinados por fornecedores conhecidos.
- Priorizar a revisão em servidores e estações de trabalho de setores sensíveis (governo, diplomacia, infraestrutura crítica), que são os alvos observados até agora.
- Manter soluções de segurança endpoint atualizadas, já que parte do comportamento do BlackX foi desenhado para atuar especificamente quando detecta certos antivírus instalados.