A empresa de segurança Kaspersky publicou nesta semana um relatório técnico sobre o BlackX, um malware do tipo bootkit que atingiu organizações diplomáticas do Tajiquistão, Uzbequistão e Turcomenistão no início de 2026. A suspeita é de que a operação seja do APT41, um grupo de hackers ligado ao governo chinês. O objetivo é enfraquecer as defesas que protegem a inicialização do Windows e as soluções de segurança de terceiros, mantendo um acesso secreto e duradouro aos aparelhos invadidos.

Pense no bootkit como um invasor que consegue entrar no prédio antes da portaria abrir e, depois, trocar a fechadura. Ele roda no UEFI, a camada que liga o computador antes do sistema operacional. O BlackX é considerado uma versão atualizada do BlackLotus, um bootkit conhecido desde 2022 e confirmado pela ESET em 2023. Ele explora a falha CVE-2022-21894, apelidada de Baton Drop, que tem pontuação CVSS 4.4 e já foi corrigida. Para usá-la, o atacante precisa de privilégio de administrador ou de acesso físico à máquina. A própria Microsoft lembra que o bootkit não é a porta de entrada inicial, e sim uma forma de se manter escondido.

Instalar a atualização, portanto, não basta. A Microsoft indica passos manuais de revogação do Secure Boot, como incluir o certificado Windows Production PCA 2011 na lista DBX. A Kaspersky percebeu que os atacantes se aproveitam justamente de organizações que não fizeram esses passos. Esse certificado expirou em 19 de outubro de 2026, mas isso não impede que arquivos vulneráveis sejam carregados enquanto ele não estiver na lista de bloqueio. Na prática, o malware instala um driver malicioso no kernel do Windows, assinado com um certificado já revogado de uma empresa chamada Wenjiang District Mingyu Network Technology Service Studio. Esse driver tenta enfraquecer programas antivírus e, em alguns casos, só age se houver produtos da Kaspersky ou da Avast, embora a empresa tenha considerado essas rotinas ineficazes. Também são instalados um trojan de acesso remoto, que usa Google Drive, OneDrive e Yandex.Disk para receber comandos, e uma DLL chamada OxiDLLRunner, para espionagem.

A ligação com o APT41 vem de um relatório da ESET, de junho de 2026, sobre o grupo FishMonger, que usou um backdoor chamado SprySOCKS contra órgãos governamentais de Honduras, Taiwan, Tailândia e Paquistão entre 2023 e 2024. O FishMonger é tratado como parte do APT41. A Kaspersky também viu sinais, como o texto xdd presente no BlackX e no implante do FishMonger, e o uso de DLL sideloading, técnica muito comum em grupos de origem chinesa. Para quem administra redes, o recado é seguir as orientações da Microsoft e do fabricante, manter os sistemas atualizados e aplicar as medidas manuais de Secure Boot.