Bootkit identificado pela Kaspersky explora uma falha no processo de aplicação de atualizações de segurança da Microsoft e consegue executar código malicioso antes da inicialização do Windows. Ataques atingiram organizações diplomáticas na Ásia Central.
Um novo malware chamado BlackX está chamando a atenção de pesquisadores de segurança por conseguir contornar o Secure Boot, mecanismo criado justamente para impedir a execução de códigos não autorizados durante a inicialização do computador.
Identificado pela equipe de pesquisa da Kaspersky em uma campanha de espionagem descoberta no início de 2026, o BlackX utiliza uma brecha relacionada ao processo de correção de uma vulnerabilidade antiga do Windows. O detalhe mais preocupante é que os computadores atingidos já estavam com as atualizações convencionais do sistema operacional instaladas.
Segundo a investigação, os ataques tiveram como alvo organizações diplomáticas da Ásia Central, incluindo instituições no Tajiquistão, Uzbequistão e Turcomenistão. A Kaspersky atribui a operação, com nível moderado de confiança, ao grupo APT41, conhecido por atividades de espionagem cibernética.
BlackX aproveita uma brecha deixada pelo processo de atualização
Para entender como o ataque funciona, é necessário conhecer o papel do UEFI e do Secure Boot.
O UEFI (Unified Extensible Firmware Interface) é o firmware responsável por preparar o computador para iniciar o sistema operacional. Entre suas funções está o Secure Boot, tecnologia que verifica as assinaturas digitais dos componentes envolvidos na inicialização, permitindo apenas a execução de softwares considerados confiáveis.
Na prática, é uma camada de proteção que dificulta a instalação de programas maliciosos capazes de assumir o controle do computador antes mesmo de o Windows começar a funcionar.
O problema está em uma vulnerabilidade conhecida como Baton Drop, identificada pelo código CVE-2022-21894. A falha permite explorar determinadas versões do gerenciador de inicialização do Windows para contornar as verificações de segurança do Secure Boot.
A Microsoft disponibilizou correções para o problema, mas a proteção completa depende de etapas adicionais: além de instalar as atualizações, é necessário aplicar as medidas de mitigação que revogam a confiança nos antigos componentes vulneráveis.
Foi justamente essa diferença que permitiu a atuação do BlackX.
O problema não estava apenas nas atualizações do Windows
A história começou a ganhar destaque em 2023, quando pesquisadores documentaram o BlackLotus, considerado o primeiro bootkit UEFI conhecido em circulação pública capaz de contornar o Secure Boot em sistemas Windows atualizados.
O malware explorava a vulnerabilidade Baton Drop para carregar componentes maliciosos durante a inicialização, antes que boa parte das ferramentas tradicionais de segurança estivesse em funcionamento.
A Microsoft começou a distribuir medidas de proteção em maio de 2023. Posteriormente, em 2024, ampliou as opções de mitigação, incluindo mecanismos para bloquear gerenciadores de inicialização antigos assinados pelo certificado Windows Production PCA 2011.
Entretanto, essas medidas não eram ativadas automaticamente em todos os dispositivos. A documentação da Microsoft orientava administradores a realizar etapas adicionais, incluindo a atualização da base de certificados confiáveis e a inclusão do certificado antigo na lista de certificados revogados do firmware.
Essa implementação gradual foi adotada para evitar problemas de inicialização em computadores que ainda dependiam de componentes antigos. Uma revogação aplicada antes da preparação adequada poderia impedir que determinados equipamentos inicializassem corretamente.
O resultado foi uma situação perigosa: organizações que instalaram as atualizações do Windows continuaram vulneráveis porque não concluíram todas as etapas necessárias para ativar as proteções.
BlackX utiliza técnicas semelhantes às do BlackLotus
De acordo com a análise da Kaspersky, o BlackX apresenta semelhanças técnicas importantes com o BlackLotus. Os pesquisadores identificaram mecanismos semelhantes de exploração da falha e de utilização de chaves próprias para permitir a execução de componentes EFI não autorizados.
Apesar das semelhanças, o BlackX não é simplesmente uma cópia idêntica do malware anterior. Ele utiliza um driver malicioso diferente e possui outros componentes destinados à espionagem e à manutenção do acesso aos computadores comprometidos.
Um dos recursos identificados é a utilização de um driver em modo kernel, camada privilegiada do Windows que possui amplo controle sobre o funcionamento do sistema.
Esse componente pode interferir em processos relacionados à segurança, modificar mecanismos de monitoramento e dificultar a identificação da atividade maliciosa.
A investigação também identificou mecanismos de proteção dos próprios arquivos do malware, além de ferramentas destinadas à execução de cargas adicionais.
Entre elas está um programa de acesso remoto que utiliza serviços de armazenamento em nuvem, como Google Drive, OneDrive e Yandex Disk, para estabelecer comunicação com a infraestrutura dos invasores e transferir arquivos.
Essa estratégia permite que os criminosos utilizem serviços legítimos como parte da infraestrutura de espionagem, dificultando a identificação de comunicações suspeitas.
Por que esse tipo de malware é tão perigoso?
A principal característica de um bootkit UEFI é sua capacidade de atuar antes da inicialização completa do sistema operacional.
Como o código malicioso entra em funcionamento muito cedo, ele pode carregar drivers e modificar componentes do Windows antes que diversas ferramentas de proteção estejam operacionais.
Isso representa uma vantagem considerável para os invasores, especialmente em ataques direcionados a organizações que armazenam informações confidenciais.
Outro problema é a persistência. Dependendo de como a infecção foi implementada, simplesmente reinstalar o Windows pode não ser suficiente para eliminar todos os componentes maliciosos, principalmente quando arquivos comprometidos permanecem na partição EFI do disco.
Isso não significa que qualquer reinstalação seja inútil, mas que a recuperação exige uma investigação mais cuidadosa do processo de inicialização e do firmware.
Microsoft enfrenta um desafio adicional com os certificados do Secure Boot
O caso também expõe uma dificuldade enfrentada pela Microsoft na modernização do sistema de segurança do Windows.
A empresa precisa substituir certificados antigos sem comprometer a compatibilidade de milhões de computadores, alguns deles utilizando configurações de firmware e mídias de recuperação que dependem de componentes anteriores.
Em 2026, essa transição ganhou ainda mais importância porque certificados Secure Boot emitidos em 2011 começaram a atingir suas datas de expiração.
O certificado Windows Production PCA 2011, por exemplo, tinha validade até 19 de outubro de 2026. A Microsoft vem orientando fabricantes e administradores a migrar para os certificados da geração 2023.
É importante destacar que a expiração de um certificado não equivale automaticamente à sua inclusão na lista de revogação do Secure Boot. São mecanismos diferentes, e a simples chegada da data de vencimento não garante que componentes vulneráveis deixarão de ser aceitos.
A documentação oficial da Microsoft também alerta que equipamentos sem os novos certificados podem continuar funcionando normalmente e recebendo atualizações convencionais do Windows, mas deixar de receber determinadas proteções futuras relacionadas à inicialização.
O que usuários e administradores devem fazer?
Embora os ataques identificados pela Kaspersky tenham sido direcionados a organizações específicas, o problema merece atenção de qualquer ambiente que utilize Windows com Secure Boot.
Manter o Windows atualizado continua sendo fundamental, mas não deve ser considerado suficiente para garantir a proteção contra ameaças desse tipo.
Administradores de TI devem verificar o estado dos certificados UEFI, acompanhar a aplicação das medidas de mitigação relacionadas ao Secure Boot e consultar as orientações oficiais da Microsoft para garantir que os certificados antigos tenham sido efetivamente revogados quando apropriado.
Também é recomendável manter o firmware da placa-mãe atualizado e verificar se as mídias de recuperação e instalação utilizadas pela organização são compatíveis com os novos certificados.
Usuários domésticos devem manter as atualizações automáticas habilitadas e evitar alterações manuais nas configurações de Secure Boot sem consultar as orientações do fabricante do equipamento. A aplicação incorreta das revogações pode provocar problemas de inicialização.
O caso BlackX deixa uma lição importante: uma atualização instalada nem sempre significa que todas as proteções previstas foram efetivamente ativadas. Em mecanismos críticos como o Secure Boot, a diferença entre corrigir uma vulnerabilidade e concluir a implantação de sua proteção pode representar uma oportunidade para invasores.
