Organizações diplomáticas da Ásia Central foram alvo de um novo e sofisticado kit de inicialização UEFI chamado BlackX.
A campanha atingiu entidades diplomáticas no Tajiquistão, no Uzbequistão e no Turcomenistão no início de 2026. Segundo um relatório técnico publicado pela Kaspersky nesta semana, a operação teria sido conduzida pelo APT41, grupo de hackers patrocinado pelo Estado e ligado à China.
O principal objetivo do malware é enfraquecer as defesas de inicialização do Microsoft Windows e as soluções de segurança de terceiros, além de manter acesso encoberto e duradouro aos dispositivos comprometidos.
A análise indica que o BlackX é uma versão atualizada do BlackLotus, um conhecido kit de inicialização que começou a ser anunciado em fóruns de crimes cibernéticos no fim de 2022. Sua existência foi confirmada oficialmente pela ESET em março de 2023.
O BlackLotus foi desenvolvido para explorar uma vulnerabilidade de desvio da Inicialização Segura que já recebeu um patch, identificada como
CVE-2022-21894
e com pontuação CVSS de 4,4. Também conhecida como Baton Drop, a falha permite carregar código malicioso antes do início do sistema operacional. Para explorá-la com sucesso, porém, o invasor precisa ter privilégios de administrador ou acesso físico ao computador.
“É fundamental observar que o uso desse kit de inicialização por um threat actor tem como objetivo principal manter a persistência e evitar a detecção”, afirmou a Microsoft na época. “Ele não é um payload de primeira etapa nem um vetor de acesso inicial. Só pode ser instalado em um dispositivo ao qual o threat actor já tenha obtido acesso privilegiado ou físico.”
Para eliminar completamente a ameaça, é preciso tomar medidas adicionais além de instalar a atualização mais recente. Entre elas estão procedimentos manuais para aplicar as medidas de revogação da Inicialização Segura da Microsoft, como adicionar o certificado “Windows Production PCA 2011” à lista de bloqueio UEFI DBX.
A empresa russa de cibersegurança constatou que os invasores estão tirando proveito do fato de que algumas organizações não executaram essas etapas manuais. Isso permite que continuem explorando a vulnerabilidade Baton Drop mesmo em sistemas que já receberam o patch.
“Em 19 de outubro de 2026, esse certificado expirou, mas isso não impede o carregamento dos arquivos binários vulneráveis, a menos que o certificado seja incluído na lista de bloqueio”, afirmaram os pesquisadores Georgy Kucherin, Vladimir Nestor e Vasily Berdnikov.
“É provável que o threat actor por trás da campanha tenha considerado que poucas organizações perceberam a importância de ativar manualmente o patch para a Baton Drop. Por isso, acreditamos que decidiu investir tempo para entender como o BlackLotus funciona e criar uma cópia desse kit de inicialização.”
Os invasores foram vistos instalando o BlackX depois de invadir as redes das vítimas por um método não especificado e obter privilégios de administrador. Para instalar o kit, o threat actor cria os seguintes arquivos:
- `inst.exe`, um arquivo executável de instalação;
- `PVMDIJGKAX2`, um arquivo criptografado, sem extensão, que contém arquivos e textos necessários à instalação.
Em seguida, o instalador é iniciado pela linha de comando com a instrução `C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1`. A sequência `Q46F6MDLI3RX2KV1` é a chave RC4 usada para descriptografar o conteúdo.
O arquivo binário cria então arquivos adicionais nas partições do sistema e da UEFI para explorar a
CVE-2022-21894
de maneira “notavelmente semelhante” à usada pelo BlackLotus. O objetivo final também é o mesmo: instalar Chaves do Proprietário da Máquina (MOK) para carregar arquivos EFI arbitrários nos dispositivos infectados e interferir na Inicialização Segura.
Um aspecto relevante é que o código-fonte do BlackLotus nunca foi disponibilizado publicamente. Isso indica que os responsáveis pelo BlackX fizeram engenharia reversa do kit original ou compraram seu código-fonte de terceiros.
“De qualquer forma, é uma observação interessante, pois raramente vemos grupos APT aproveitarem ideias ou código de grupos criminosos cibernéticos”, afirmou a Kaspersky.
O payload UEFI instalado após a exploração da vulnerabilidade foi desenvolvido para inserir um driver malicioso no kernel do Windows. O driver foi assinado com um certificado pertencente à empresa Wenjiang District Mingyu Network Technology Service Studio. Desde então, o certificado foi revogado.
Assim como em um ataque do tipo BYOVD (traga seu próprio driver vulnerável), o driver tenta interferir no funcionamento dos programas de segurança de endpoint instalados no computador. Em um detalhe incomum, algumas modificações não autorizadas só podem ser executadas quando há programas de segurança associados à Kaspersky ou à Avast. A análise da Kaspersky, no entanto, concluiu que essas rotinas não são eficazes.
Além de tentar neutralizar as soluções de segurança, o driver também instala um payload em modo de usuário para espionagem cibernética. Foram identificados dois payloads:
- Um trojan de acesso remoto capaz de instalar outros payloads .NET. Ele usa o Google Drive, o OneDrive e o Yandex.Disk para comunicação de comando e controle (C2), disfarçando o tráfego em meio às atividades empresariais comuns. Também coleta informações do sistema e envia arquivos de interesse.
- Uma DLL maliciosa chamada OxiDLLRunner, carregada lateralmente pelo arquivo legítimo `googleupdate.exe`, que também é instalado pelo kit de inicialização. A DLL descriptografa e inicia um payload escrito em Rust, que se comunica com `archivetj[.]com` para receber e executar outros plugins DLL.
A ligação entre o BlackX e o APT41 se baseia em um relatório da ESET publicado em junho de 2026. O documento descreveu o uso, pelo grupo FishMonger, de um backdoor para Windows chamado SprySOCKS em ataques contra entidades governamentais de Honduras, Taiwan, Tailândia e Paquistão entre 2023 e 2024. Também conhecido como Aquatic Panda e Earth Lusca, o FishMonger é considerado parte do APT41.
A empresa eslovaca de cibersegurança afirmou ter encontrado “indícios limitados” de que algumas versões do backdoor podem incluir um componente de kit de inicialização UEFI, possivelmente voltado à exploração da
CVE-2023-24932
, outra vulnerabilidade de desvio de recursos de segurança associada ao BlackLotus.
Uma possível conexão é a presença do texto “xdd” tanto no BlackX quanto no implante de kernel usado pelo FishMonger. Isso levanta a hipótese de que o kit de inicialização UEFI empregado nesses ataques seja o próprio BlackX. Outro indício que aponta para hackers alinhados à China é o uso de DLL sideloading para instalar os payloads, uma prática muito comum entre threat actors de origem chinesa.
“Ao adaptar uma ferramenta comercial de crime cibernético, o grupo conseguiu contornar mecanismos criados para proteger o processo de inicialização do Windows”, afirmou Kucherin. “Essa abordagem híbrida mostra que adversários sofisticados não precisam reinventar a roda para estabelecer controle persistente e invisível sobre redes de alto valor.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...