Hackers suspeitos de ligação com a China, identificados como APT41 (grupo de ameaça persistente avançada), teriam implantado o BlackX, um bootkit UEFI (Interface Unificada de Firmware Extensível), contra organizações diplomáticas no Tadjiquistão, no Uzbequistão e no Turcomenistão.
Pesquisadores atribuem a operação ao APT41 com confiança média.
O BlackX se assemelha muito ao BlackLotus, bootkit anunciado em fóruns clandestinos por US$ 5.000 em outubro de 2022.
A ESET confirmou suas capacidades em março de 2023, demonstrando a exploração do Baton Drop, identificado como CVE-2022-21894 (sigla de Vulnerabilidades e Exposições Comuns).
Embora a Microsoft tenha corrigido essa vulnerabilidade em janeiro de 2022, atacantes ainda podiam introduzir componentes de inicialização mais antigos, assinados legitimamente, que não haviam sido revogados.
Os atacantes implantam o BlackX depois de comprometer redes e obter privilégios de administrador. Seu instalador, inst.exe, funciona em conjunto com um contêiner criptografado com RC4 (algoritmo de criptografia), sem extensão, chamado PVMDIJGKAX2.
A execução observada usa Q46F6MDLI3RX2KV1 como chave de descriptografia. Manter os componentes de instalação fora do executável dificulta a recuperação e a análise quando os responsáveis pela resposta a incidentes obtêm apenas o instalador.
A cadeia de instalação posiciona componentes nas partições do Windows e da EFI (Interface de Firmware Extensível) e, em seguida, explora o Baton Drop para registrar chaves de proprietário de máquina (MOK) controladas pelos atacantes.
Essas chaves permitem o carregamento posterior de aplicativos EFI maliciosos pela cadeia de inicialização manipulada.
A Kaspersky identificou a campanha no início de 2026; ela explora uma lacuna de proteção do Secure Boot do Windows que deixa até sistemas totalmente atualizados expostos quando os administradores não ativaram explicitamente as revogações de carregadores de inicialização.
Ataque de bootkit associado ao APT41
A Kaspersky observou semelhanças substanciais com o BlackLotus, além de diferenças de implementação, o que sugere engenharia reversa ou acesso ao código-fonte dele, e não um vínculo de desenvolvimento confirmado.
Em seguida, o BlackX injeta um driver malicioso no kernel do Windows. Diferentemente do driver do BlackLotus, esse componente foi assinado com um certificado pertencente ao Wenjiang District Mingyu Network Technology Service Studio. A autoridade emissora já revogou esse certificado.
O driver desativa callbacks de processos, de threads e do registro relacionados à segurança e interfere nos provedores do Event Tracing for Windows (ETW, rastreamento de eventos do Windows). Ele também protege os arquivos do bootkit redirecionando tentativas de abri-los para o calc.exe.
No entanto, a Kaspersky relatou que as rotinas de adulteração específicas de produtos não conseguiram interferir no software de segurança durante os testes.
Os pesquisadores identificaram duas cargas úteis em modo usuário. Uma delas é um trojan de acesso remoto que usa Google Drive, OneDrive ou Yandex.Disk para comunicações de comando e controle.
Sufixos de arquivos identificam instruções e resultados, o que dá suporte à execução adicional de .NET, a transferências de arquivos e ao envio inicial de informações do sistema.
A segunda, OxiDLLRunner, usa ofuscação OLLVM (ofuscador baseado em LLVM) e acesso por sideloading de DLL (biblioteca de vínculo dinâmico) por meio de um executável legítimo renomeado para googleupdate.exe.
Ela descriptografa v8_context_snapshot.bin para expor um shellcode e uma carga útil em Rust que se comunica com www[.]archivetj[.]com. Os plugins DLL baixados exportam create_plugin e são executados em threads separadas.
A atribuição se apoia em parte no identificador “xdd”, também presente em um caminho de desenvolvimento de driver documentado na pesquisa FishMonger da ESET, de junho de 2026.
A ESET relatou indícios limitados de um bootkit não especificado, possivelmente explorando o CVE-2023-24932. A Kaspersky avalia que o BlackX poderia explicar essas observações, mas a conexão ainda é inferencial.
O ponto central da fragilidade é a revogação incompleta, e não apenas a falta de correções. A mitigação da Microsoft exige atualizar as bases de dados de confiança do Secure Boot e revogar explicitamente o Windows Production PCA 2011 por meio da base de assinaturas proibidas, o DBX (banco de dados de assinaturas proibidas). A orientação da Microsoft afirma que essas mitigações não vêm ativadas por padrão.
Embora esse certificado tenha expirado em 19 de outubro de 2026, a Kaspersky afirma que a expiração, por si só, não impede a execução de binários vulneráveis.
Os administradores devem validar o status de revogação e seguir o guia de implantação em etapas da Microsoft, incluindo a atualização da mídia de recuperação e o teste de compatibilidade da inicialização.
Aplicar revogações sem antes preparar componentes confiáveis de substituição pode impedir que os sistemas inicializem; por isso, uma implantação controlada e a verificação são essenciais.
