Instalar a atualização do Windows nem sempre basta. Esse é o recado do BlackX, um malware descoberto pela Kaspersky que se instala antes mesmo do sistema operacional ligar e passa pelo Secure Boot em computadores que já tinham o conserto, mas sem uma etapa manual.
O que é um bootkit
O Secure Boot é a proteção que confere se o que carrega na inicialização do PC é confiável. O BlackX é um bootkit UEFI, código malicioso que roda nessa fase, antes do Windows e do antivírus. A Kaspersky descreve o programa como uma versão atualizada do BlackLotus, um bootkit conhecido. O objetivo é permanecer escondido e driblar defesas.
A falha que o conserto não fechou
O BlackX explora a CVE-2022-21894, conhecida como Baton Drop, que a Microsoft já corrigiu. O problema é que o conserto só funciona por completo se o administrador fizer também as etapas de revogação manual. Sem elas, os arquivos de inicialização vulneráveis continuam carregando, porque o certificado “Windows Production PCA 2011” não está na lista de bloqueio do Secure Boot, a DBX. Esse certificado expirou em 19 de outubro de 2026, mas a expiração, sozinha, não impede o carregamento.
O invasor precisa de privilégios de administrador na máquina, normalmente obtidos depois de invadir a rede por outro caminho. Então instala os arquivos, e o foco é registrar chaves próprias para carregar o que quiser e atrapalhar o Secure Boot. Entre as cargas, há um driver que mexe em programas de segurança e um trojan de acesso remoto que usa Google Drive, OneDrive e Yandex.Disk para receber ordens.
Quem foi atacado
Segundo a Kaspersky, os alvos foram organizações diplomáticas no Tajiquistão, no Uzbequistão e no Turcomenistão no início de 2026. A empresa suspeita do grupo APT41, ligado à China, mas a atribuição é só uma suspeita. A reportagem não cita ataques a usuários comuns.
Como se proteger
- Aplique as atualizações do Windows, mas saiba que elas não bastam para esse caso.
- Quem administra computadores de empresa deve aplicar as mitigações de revogação do Secure Boot da Microsoft, incluindo adicionar o certificado Windows Production PCA 2011 à DBX.
- Mantenha o Secure Boot ligado na configuração do firmware (BIOS/UEFI).
- Não use conta de administrador no dia a dia. O bootkit precisa desse nível de acesso para se instalar.
- Desconfie de programas e anexos desconhecidos, porque o ataque começa com outra invasão.
