A Kaspersky relatou uma campanha de BlackX no início de 2026 contra órgãos diplomáticos no Tajiquistão, no Uzbequistão e no Turcomenistão. Segundo a empresa, os invasores já haviam comprometido as redes e obtido privilégios de administrador antes de implantar o bootkit. A instalação das atualizações do Windows, por si só, não ativava necessariamente a revogação separada descrita pela Kaspersky. A empresa identificou os três países como alvos.
Como o BlackX foi implantado
Um bootkit UEFI é um tipo de malware que interfere no processo de inicialização do computador, antes de o Windows carregar. A Kaspersky diz que o BlackX explora a falha Baton Drop, identificada como CVE-2022-21894, no gerenciador de inicialização do Windows. A cadeia de exploração instala chaves Machine Owner Keys personalizadas, que permitem carregar arquivos EFI controlados por invasores.
A equipe também descreveu um driver de kernel que interfere em mecanismos usados por softwares de segurança para monitorar processos, threads e alterações no Registro, além de mexer em provedores ETW, usados para registrar eventos do sistema. A Kaspersky comparou o BlackX ao BlackLotus, mas apontou diferenças na implementação da exploração e no driver.
Por que instalar atualizações não conclui necessariamente a revogação
O Secure Boot verifica componentes durante a inicialização para impedir o carregamento de código não autorizado. Corrigir uma vulnerabilidade do gerenciador de inicialização e revogar a confiança em componentes vulneráveis são ações diferentes. A Kaspersky relata que os computadores-alvo tinham as atualizações pertinentes instaladas, mas que isso não acionava automaticamente a revogação que descreve.
Essa ativação adicional envolve uma configuração no Registro e a criação de uma tarefa agendada chamada Secure-Boot-Update. A consequência prática é que o estado de atualização do Windows, sozinho, não indica se essa revogação específica foi aplicada.
O que mudou com o vencimento do certificado
O certificado Windows Production PCA 2011 venceu em 19 de outubro de 2026. A Microsoft afirma que o vencimento, por si só, não impede dispositivos Windows de iniciar. A orientação oficial da Microsoft sobre o certificado trata da expiração e das atualizações de arquivos de inicialização.
A Kaspersky explica que o vencimento do certificado, sozinho, também não bloqueia binários vulneráveis: para isso, o certificado precisa ser incluído na lista de bloqueio. Assim, o vencimento e a revogação do Baton Drop correspondem a mecanismos distintos dentro da proteção do processo de inicialização.
