Bootkit UEFI BlackX contorna o Secure Boot em sistemas Windows atualizados

Um bootkit UEFI identificado recentemente, chamado BlackX, tem sido usado desde o início de 2026 contra organizações diplomáticas no Tajiquistão, Usbequistão e Turquemenistão. O objetivo é arrancar antes do Windows, desativar as proteções de arranque e as ferramentas de segurança, e manter um acesso dissimulado e prolongado às máquinas comprometidas. Suspeita-se, embora não esteja confirmado, que a atividade seja obra do APT41, um grupo patrocinado por um Estado e ligado à China.

O que aconteceu

O BlackX parece ser uma versão atualizada do BlackLotus, o bootkit vendido em fóruns de cibercrime no final de 2022. Tal como o antecessor, explora a CVE-2022-21894 ("Baton Drop"), uma vulnerabilidade no Windows Boot Manager que permite contornar o Secure Boot.

A Microsoft corrigiu a falha há bastante tempo, mas instalar a atualização não era suficiente. Para fechar a brecha por completo, os administradores tinham também de revogar manualmente os binários de arranque vulneráveis, e muitas organizações nunca o fizeram. Um certificado de assinatura associado a esses binários expirou a 19 de outubro de 2026, mas a expiração, por si só, não impede que sejam carregados. Só a inclusão explícita na lista de bloqueio o impede. O BlackX aproveita precisamente esta lacuna.

O código-fonte do BlackLotus nunca foi tornado público. Por isso, quem criou o BlackX ou fez engenharia inversa ao original ou comprou o código. É raro ver um grupo de espionagem estatal reutilizar uma ferramenta vinda do mundo do crime.

A cadeia de infeção observada até agora:

• Os atacantes entram na rede por uma via ainda desconhecida e obtêm privilégios de administrador.
• Deixam um instalador, inst.exe (encontrado em C:\ProgramData\Intel\), juntamente com um ficheiro cifrado sem extensão chamado PVMDIJGKAX2. O instalador é executado com uma chave RC4 passada na linha de comandos.
• São escritos ficheiros tanto na partição de sistema como na partição EFI. Depois, o Baton Drop é usado para registar Machine Owner Keys (MOK) controladas pelo atacante, de modo que podem ser carregados ficheiros EFI arbitrários e o Secure Boot deixa de proteger a máquina.
• A fase UEFI carrega um controlador de kernel malicioso. Foi assinado com um certificado entretanto revogado e tenta desativar as soluções de segurança dos endpoints, de forma semelhante a um ataque BYOVD (controlador vulnerável trazido pelo atacante).
• O controlador instala depois componentes de espionagem. Um é um trojan de acesso remoto que usa o Google Drive, o OneDrive e o Yandex.Disk como canal de comando e controlo, para que o tráfego se confunda com a atividade normal da empresa. Outro é uma DLL chamada OxiDLLRunner, carregada por sideloading através de um googleupdate.exe legítimo, que executa um payload escrito em Rust e comunica com archivetj[.]com.

Uma cadeia de texto partilhada, xdd, e o recurso a DLL sideloading apontam para uma ligação a campanhas UEFI anteriores atribuídas ao universo APT41. Deve ser vista como uma pista, não como um veredicto.

Porque é importante

Um bootkit é executado antes do sistema operativo e das suas defesas. Sobrevive à reinstalação do Windows e pode passar despercebido às ferramentas EDR. A lição mais importante é outra: uma máquina pode aparecer como "atualizada" e continuar exposta. Os sistemas em que as revogações do Baton Drop nunca foram aplicadas continuam vulneráveis a toda esta família de bootkits, e o BlackX mostra que atacantes capazes os procuram ativamente.

O que fazer

1. Aplique as revogações do Secure Boot, não apenas a atualização. Siga as orientações da Microsoft para a CVE-2022-21894 e a CVE-2023-24932. Atualize a lista de revogação DBX e as mitigações do boot manager em todo o parque informático e confirme que a alteração foi mesmo aplicada.
2. Audite as Machine Owner Keys registadas e a partição de sistema EFI. Procure entradas MOK inesperadas e binários EFI desconhecidos.
3. Procure os indicadores acima: inst.exe em C:\ProgramData\Intel\, um ficheiro PVMDIJGKAX2 sem extensão, googleupdate.exe a carregar DLL a partir de caminhos invulgares e tráfego para archivetj[.]com.
4. Vigie o uso de armazenamento na nuvem como comando e controlo. Trate como suspeitos os servidores ou postos de trabalho que comunicam com o Google Drive, o OneDrive ou o Yandex.Disk sem motivo de negócio.
5. Restrinja os privilégios de administrador. O BlackX precisa de acesso de administrador para se instalar, por isso a higiene das contas privilegiadas e a deteção precoce de movimento lateral continuam a ser a primeira linha de defesa.

Falhas como uma revogação em falta passam facilmente despercebidas porque o estado das atualizações parece correto. O nosso serviço de análise de vulnerabilidades vai além do nível de atualização, até à configuração do firmware e da cadeia de arranque, e assinala os sistemas que ainda precisam de ser protegidos antes que um atacante os encontre.