O bootkit BlackX ressuscita o BlackLotus para contornar o Secure Boot do Windows

Um novo bootkit UEFI vai buscar a receita do BlackLotus para se infiltrar por baixo do Windows Secure Boot e instalar malware de espionagem em máquinas governamentais. Identificado como BlackX, surgiu no início de 2026 em intrusões em agências diplomáticas e estatais do Tajiquistão, Usbequistão e Turquemenistão. O pormenor incómodo: os sistemas comprometidos estavam totalmente atualizados.

O que aconteceu

O BlackX não é uma ferramenta de acesso inicial. Os operadores instalam-no quando já detêm direitos de administrador na rede e usam-no para aprofundar e consolidar o comprometimento. Como essas redes foram inicialmente invadidas continua por saber.

Uma vez na máquina, o bootkit abusa do Baton Drop, o contorno do Secure Boot registado como CVE-2022-21894, para adulterar a cadeia de confiança do arranque. Escreve os seus componentes nas partições de sistema e EFI, regista chaves Machine Owner Keys controladas pelo atacante e usa-as para carregar os seus próprios binários EFI antes de o sistema operativo arrancar. A partir daí injeta um controlador de kernel assinado com um certificado legítimo, entretanto revogado, que tenta desativar callbacks de segurança e interferir com o Event Tracing for Windows, para que os sensores de endpoint vejam menos. Qualquer tentativa de ler os seus ficheiros protegidos em disco é discretamente redirecionada para um binário inofensivo do Windows. Nem todas as suas rotinas anti-segurança funcionaram nos testes, mas a intenção é clara.

O instalador não transporta qualquer carga maliciosa própria. Os componentes reais estão num pacote cifrado separado, pelo que, se as equipas de resposta recuperarem o instalador mas não o ficheiro complementar, pouco resta para analisar.

Foram observadas duas cargas em modo utilizador:

• Um trojan de acesso remoto em .NET que carrega código .NET adicional e troca tarefas e resultados através do Google Drive, OneDrive ou Yandex.Disk, escondendo o tráfego de comando na utilização normal da cloud.
• O OxiDLLRunner, uma DLL ofuscada carregada por side-loading através de um executável legítimo renomeado. Decifra um ficheiro de dados próximo em shellcode e num implante em Rust, que vai buscar mais plugins DLL à infraestrutura de comando.

A atribuição aponta para o APT41 com confiança média, com base em artefactos de desenvolvimento partilhados, sobreposições com atividade anterior do FishMonger, hábitos conhecidos de DLL side-loading e ofuscação OLLVM. É uma pista, não um veredito. Se os autores fizeram engenharia inversa do BlackLotus ou compraram o código-fonte continua por confirmar.

Porque é que importa

A cadeia é muito semelhante à do BlackLotus, um bootkit anunciado pela primeira vez em fóruns clandestinos em 2022. O facto de ainda funcionar em 2026 é a verdadeira notícia. A correção do Baton Drop exige mais do que uma atualização do Windows: os componentes de arranque antigos assinados sob o certificado Windows Production PCA 2011 têm de ser explicitamente revogados em cada dispositivo, e esse passo não acontece automaticamente. A expiração do próprio certificado a 19 de outubro também não mudou nada, porque os binários já assinados continuam a arrancar depois de expirar.

Assim, uma máquina pode reportar "totalmente atualizada" e continuar a confiar precisamente no gestor de arranque de que o atacante precisa. Um bootkit que carrega antes do Windows sobrevive à reinstalação do sistema operativo, cega o EDR por baixo e é muito difícil de detetar a partir do sistema em execução. Para embaixadas e ministérios, é um ponto de apoio silencioso e duradouro.

O que fazer

• Verifique o estado de confiança do arranque, não o estado das atualizações. Confirme que a base de dados de assinaturas proibidas do Secure Boot (DBX) em cada dispositivo Windows contém de facto as revogações da CA de 2011 e dos gestores de arranque vulneráveis.
• Aplique a revogação de forma controlada. Suportes de recuperação antigos, imagens de arranque e configurações de dual-boot podem depender dos certificados que vão ser removidos; teste antes de aplicar em larga escala.
• Mantenha os direitos de administrador escassos. O BlackX só chega depois de o atacante já ter privilégios de administrador; uma gestão rigorosa de privilégios e a monitorização de movimento lateral quebram a cadeia mais cedo.
• Esteja atento às técnicas usadas. Crie alertas para alterações inesperadas na partição de sistema EFI, novas Machine Owner Keys, controladores com certificados revogados e máquinas a comunicar com armazenamento cloud de consumo sem razão de negócio.
• Procure os indicadores conhecidos listados abaixo.

Indicadores conhecidos (desativados):

• Caminho do instalador: C:\ProgramData\Intel\inst.exe
• Nome do pacote cifrado: PVMDIJGKAX2
• Número de série do certificado de controlador revogado: 0bcdf5e0da32d68900b8b7638459d072
• Executáveis usados para side-loading: googleupdate.exe, jcef_helper.exe (MD5 do carregador legítimo AF8A983B9ADA07EAE1259BF2953ABD40)
• Carga Rust cifrada: v8_context_snapshot.bin
• Domínio de comando e controlo: www[.]archivetj[.]com
• Artefacto de desenvolvimento: nome de utilizador xdd (C:\Users\xdd\Desktop)
• Exportação do plugin: create_plugin

Esta campanha é um lembrete de que "atualizado" e "protegido" não são sinónimos. O nosso serviço de análise de vulnerabilidades foi concebido exatamente para esta falha: verifica se uma correção está realmente aplicada na máquina, e não apenas se a atualização foi instalada, para que uma cadeia de arranque que ainda confia num certificado revogado seja assinalada antes que outra pessoa a encontre.