Bootkit UEFI BlackX: como o bypass Baton Drop alcança sistemas Windows totalmente atualizados
Pesquisadores do Global Research and Analysis Team (GReAT) da Kaspersky publicaram detalhes sobre o BlackX, um bootkit UEFI que se instala abaixo do sistema operacional em máquinas Windows totalmente atualizadas. Os pesquisadores ligam o implante a uma campanha de espionagem contra organizações diplomáticas na Ásia Central e o atribuem à APT41 com confiança média; The Hacker News informa que ele abusa do bypass do Secure Boot batizado de “Baton Drop” (CVE-2022-21894). Como a correção dessa falha exige uma etapa manual que muitos administradores nunca executaram, uma vulnerabilidade corrigida em 2022 volta a ser útil no nível do firmware.
O que é o BlackX
BlackX é um bootkit: em vez de atacar o Windows por dentro, ele manipula o processo de boot para que seu código rode antes de o sistema operacional carregar. Os pesquisadores da Kaspersky o descrevem como semelhante ao BlackLotus, o bootkit anterior conhecido por explorar a mesma vulnerabilidade, e o The Hacker News o caracteriza como uma versão atualizada dessa linhagem. A comparação importa porque o BlackLotus demonstrou que bypasses do Secure Boot não são teóricos: assim que existe um bootkit funcional, a proteção que os usuários acreditam estar ativa pode ser neutralizada em silêncio.O bypass Baton Drop
A CVE-2022-21894 permite que um atacante com acesso administrativo à máquina – ou breve acesso físico – registre as próprias chaves e carregue código não assinado durante o boot. A Microsoft lançou uma correção em 2022, mas o patch sozinho não termina o trabalho: os gerenciadores de boot vulneráveis também precisam ser revogados, e essa etapa deve ser aplicada manualmente. Sistemas em que ela foi pulada continuam exploráveis mesmo com todas as atualizações do Windows instaladas, como explica a equipe de threat research da Aviatrix em sua análise da campanha.“O patch da Microsoft para a CVE-2022-21894 não revoga automaticamente o certificado vulnerável 'Windows Production PCA 2011' – os administradores precisam disparar manualmente a revogação do Secure Boot depois de aplicar o patch.” – Pesquisadores de ameaças da AviatrixUm detalhe relacionado é fácil de interpretar mal. O certificado “Windows Production PCA 2011”, que encadeava os gerenciadores de boot vulneráveis ao repositório de confiança da Microsoft, expirou em 19 de outubro de 2026. Os pesquisadores advertem que a expiração, por si só, não conserta nada: os binários vulneráveis continuam carregando a menos que sejam explicitamente revogados. O que importa é a revogação, não o calendário.
Uma campanha de espionagem abaixo do SO
Segundo a Kaspersky, o BlackX foi implantado no início de 2026 contra organizações diplomáticas no Tajiquistão, Uzbequistão e Turcomenistão. A empresa liga a campanha à APT41, um ator estatal chinês, com confiança média – avaliação ecoada pela Aviatrix, que observa que o grupo também é rastreado como Brass Typhoon. Como em qualquer atribuição sem condenação judicial, o rótulo descreve a leitura das evidências pelos pesquisadores, não um fato estabelecido. A cadeia em si começa de forma convencional: os atacantes precisam de acesso administrativo, depois registram a própria chave e posicionam o bootkit onde o firmware o executará. A partir daí, o implante carrega um driver de kernel assinado com um certificado que desde então foi revogado. Segundo a análise da Kaspersky, o driver remove os callbacks de processo, thread e registro do software de segurança e manipula o event tracing, cegando na prática as ferramentas de segurança nas máquinas infectadas.- O bootkit persiste abaixo do sistema operacional, numa camada que a maioria das ferramentas de endpoint nunca inspeciona.
- Um driver de kernel desativa ferramentas de segurança removendo callbacks e manipulando o rastreamento, deixando os defensores com um quadro incompleto.
- A carga final é um trojan de acesso remoto cujo canal de comando se esconde em serviços legítimos de armazenamento em nuvem como Google Drive, OneDrive e Yandex.Disk.
- Os pesquisadores observaram componentes loader entregues via DLL side-loading e ofuscados para resistir à análise.
O que sobrevive a uma reinstalação
A consequência prática para defensores e operadores de home lab é desconfortável, porém simples: reinstalar o Windows não remove um bootkit de forma confiável. O implante vive na partição EFI do sistema, e uma reinstalação rotineira não apaga necessariamente essa partição nem restaura os binários de boot nela contidos. Uma máquina pode iniciar um Windows novinho e totalmente atualizado e ainda assim carregar código do atacante primeiro. Para ficar claro: esses implantes não se espalham sozinhos – o atacante precisa primeiro de acesso administrativo ou físico –, mas, uma vez instalado um, o reflexo de “formatar e reinstalar” não é a folha em branco que parece.O que realmente vale a pena conferir
- Confirmar que o Secure Boot está ativado (o msinfo32 mostra o Secure Boot State no Windows).
- Aplicar a orientação da Microsoft para revogar gerenciadores de boot vulneráveis em vez de assumir que as atualizações cuidam disso; o patch do Baton Drop exige essa etapa manual de revogação.
- Em máquinas com dual boot ou em home labs, revisar as Machine Owner Keys registradas com o mokutil e remover qualquer entrada que você não tenha criado.
- Tratar um produto de segurança que para de iniciar silenciosamente como incidente, não como bug – esse é exatamente o trabalho do driver.
- Se uma máquina for realmente suspeita, reparticionar o disco ou regravar o firmware em vez de confiar numa reinstalação simples; a partição EFI do sistema é o ponto de persistência.