Bootkit BlackX contorna Secure Boot em Windows atualizado; aplique revogação manual
A Kaspersky relata o bootkit UEFI BlackX, sucessor modernizado do BlackLotus, explorando a falha Baton Drop (CVE-2022-21894) contra agências diplomáticas no Tadjiquistão, Uzbequistão e Turcomenistão no início de 2026. O bootkit contorna o Secure Boot mesmo em máquinas Windows totalmente atualizadas, porque a proteção exige habilitar manualmente as revogações do Windows Boot Manager associadas à CVE-2023-24932, e a fase automática ainda não foi lançada. Aplique a flag de registro e a tarefa agendada Secure-Boot-Update do guia da Microsoft; a Kaspersky atribui a campanha ao APT41, com confiança média.
O que aconteceu
A Kaspersky descobriu o bootkit BlackX em ataques a organizações diplomáticas no Tadjiquistão, Uzbequistão e Turcomenistão no início de 2026, e afirma que suas soluções impediram os ataques. O malware roda antes de o Windows iniciar, contorna o Secure Boot e desativa soluções de segurança. A Kaspersky atribui a campanha ao grupo APT41, com confiança média.
Por que importa
O bootkit dá acesso invisível e de longo prazo às máquinas e abre caminho para espionagem que rouba dados por serviços de nuvem como Google Drive, OneDrive e Yandex Disk. Empresas com Windows e Secure Boot que não aplicaram as revogações manuais da Microsoft permanecem vulneráveis mesmo com todos os patches instalados.
O que fazer
Executar as etapas manuais do guia da Microsoft para habilitar as revogações do Windows Boot Manager associadas à CVE-2023-24932: flag de registro e tarefa agendada Secure-Boot-Update. A aplicação automática ainda não foi lançada. Restringir privilégios administrativos e monitorar a integridade de firmware, conforme a Kaspersky recomenda.
Para o time técnico
- CVE
- CVE-2023-24932, CVE-2022-21894
- Afetados
- Microsoft Windows Secure Boot (Windows Boot Manager assinado pelo Windows Production PCA 2011) · Máquinas Windows com Secure Boot nas quais o certificado Windows Production PCA 2011 não foi adicionado à base DBX do Secure Boot, mesmo totalmente atualizadas (guia da Microsoft).
- Exploração
- Ataques reais relatados pela Kaspersky: campanha APT contra agências diplomáticas no Tadjiquistão, Uzbequistão e Turcomenistão no início de 2026. Nenhum ataque público conhecido usou o BlackLotus desde as atualizações de 2023. Atribuição da Kaspersky ao APT41, com confiança média.
- Correção
- Habilitar manualmente as revogações da Microsoft para o Windows Boot Manager associadas à CVE-2023-24932: flag de registro mais tarefa agendada Secure-Boot-Update, conforme o guia da Microsoft; a fase de aplicação automática ainda não foi lançada. A Kaspersky recomenda restringir privilégios administrativos e monitorar integridade de firmware, e cita o componente Exploit Prevention como bloqueio de exploração mesmo sem o patch aplicado.
- Vetor
- Bootkit UEFI que explora a vulnerabilidade Baton Drop (CVE-2022-21894) para instalar Machine Owner Keys (MOK) personalizadas e carregar arquivos EFI arbitrários, manipulando o Secure Boot. Condições: os atacantes já haviam comprometido a rede da vítima e obtido privilégio de administrador; o instalador inst.exe descriptografa com RC4 o pacote PVMDIJGKAX2. A falha funciona em máquinas nas quais o certificado Windows Production PCA 2011 não foi adicionado à base DBX do Secure Boot, mesmo atualizadas.
- Mais detalhes
- O driver injetado no kernel do Windows difere do usado pelo BlackLotus e desativa callbacks de processo, thread e registro de soluções de segurança, adultera provedores ETW e protege arquivos do bootkit retornando um handle de calc.exe; os procedimentos voltados a Kaspersky e Avast falharam contra produtos Kaspersky. Dois payloads de modo usuário: um RAT que carrega estágios .NET e usa Google Drive, OneDrive e Yandex.Disk como C2 (sufixos de tarefa 0X01 a 0X06 e SSSR), e o OxiDLLRunner, DLL ofuscada com OLLVM carregada via sideloading pelo googleupdate.exe, que descriptografa v8_context_snapshot.bin e executa payload em Rust que se comunica com o C2 www[.]archivetj[.]com e executa DLLs com a função create_plugin. O código-fonte do BlackLotus nunca foi publicado; a Kaspersky avalia que os atacantes fizeram engenharia reversa ou compraram o código. Base da atribuição: identificador 'xdd' repetido nos payloads, post do ESET de junho de 2026 sobre o ator FishMonger (associado pela comunidade ao APT41) e uso de OLLVM e DLL sideloading, padrões comuns a atores de língua chinesa. Linha do tempo: BlackLotus anunciado em outubro de 2022 por 5.000 dólares; ESET confirmou amostras em março de 2023; Kaspersky identificou o BlackX no início de 2026; pesquisa apresentada no Security Analyst Summit 2026, em Bali, com comunicado em 21 de outubro de 2026.
Linha do tempo
Kaspersky relata o bootkit BlackX em ataques reais e a Microsoft detalha a revogação manual.
Fontes 6 fontes
- How to manage the Windows Boot Manager revocations for Secure Boot changes associated with CVE-2023-24932 Microsoft
- New BlackX UEFI bootkit exploiting Baton Drop Kaspersky Securelist
- Kaspersky discovers BlackX bootkit targeting diplomatic organizations in Central Asia Kaspersky
- NVD: CVE-2022-21894 NVD
- BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations The Hacker News
Ver todas as 6 fontes
- BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot BleepingComputer
