Bootkit BlackX para UEFI ignora o Secure Boot em sistemas Windows
Um novo bootkit para UEFI chamado BlackX foi descoberto atacando organizações diplomáticas na Ásia Central. Ele ignora as proteções do Secure Boot em sistemas Windows totalmente atualizados explorando a falta de revogação de certificados.
TL;DR
- BlackX é um novo bootkit UEFI direcionado a entidades diplomáticas na Ásia Central.
- Ele ignora o Secure Boot mesmo em sistemas Windows atualizados.
- O ataque explora certificados não revogados para manter persistência.
- Suspeita-se que o grupo chinês APT41 esteja por trás da campanha.
- As organizações devem auditar imediatamente o firmware e os repositórios de certificados confiáveis.
Pesquisadores de cibersegurança descobriram um novo e sofisticado bootkit para UEFI, apelidado de BlackX, que ignora com sucesso as proteções do Secure Boot em sistemas Windows totalmente atualizados. O malware teve como alvo específico instituições diplomáticas no Tajiquistão, Uzbequistão e Turcomenistão no início de 2026.
Este bootkit furtivo aproveita uma lacuna crítica na segurança do firmware — sistemas que falharam em revogar certificados comprometidos — permitindo que os atacantes mantenham persistência de baixo nível entre reinicializações e reinstalações do sistema operacional. Pesquisadores da Kaspersky atribuem a campanha ao grupo APT41, uma ameaça avançada persistente ligada à China, conhecida por operações de espionagem.
Detalhes Técnicos da Infecção BlackX
- O BlackX modifica o firmware UEFI para executar código malicioso durante a inicialização do sistema.
- Ele abusa de certificados não revogados para passar nas verificações de validação do Secure Boot.
- O bootkit alcança persistência no nível do kernel antes mesmo do carregamento do sistema operacional.
- As vítimas permanecem comprometidas mesmo após reformatar seus discos rígidos.
- Ferramentas tradicionais de antivírus não conseguem detectar a infecção em tempo de execução.
Recomendações Defensivas
- Audite todas as imagens de firmware UEFI em busca de modificações não autorizadas.
- Certifique-se de que os certificados revogados sejam removidos adequadamente dos armazenamentos de certificados confiáveis.
- Implante ferramentas de atestado baseadas em hardware para verificar a integridade da inicialização.
- Monitore o tráfego de rede em busca de conexões incomuns saindo por protocolos legados.
- Implemente soluções de detecção e resposta em endpoints com visibilidade sobre o firmware.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.