Um bootkit UEFI batizado de BlackX foi detectado em operação de espionagem que se iniciou nos primeiros meses de 2026, segundo relatório da BleepingComputer. O código malicioso utiliza a vulnerabilidade Baton Drop, divulgada há alguns anos, para contornar o Secure Boot e inserir um driver projetado a interferir nas ferramentas de proteção da Kaspersky e da Avast. A ação foi observada em múltiplas organizações de médio e grande porte, indicando um alvo de interesse estratégico.
Contexto
A vulnerabilidade Baton Drop permite que código não assinado seja executado durante o processo de inicialização, desde que o atacante consiga manipular a cadeia de confiança do firmware. Embora patches tenham sido lançados por fabricantes de placas-mãe, a exploração ainda persiste em dispositivos que não receberam atualizações ou que utilizam versões legadas de firmware. No cenário de 2026, grupos de espionagem continuam a revisitar falhas antigas, combinando-as com técnicas modernas para alcançar maior sigilo e persistência. O uso de um bootkit como BlackX demonstra a evolução das ameaças que buscam operar abaixo do nível do sistema operacional, dificultando a detecção por antivírus tradicionais.
Impacto
Empresas que dependem das soluções de segurança da Kaspersky e da Avast podem ter suas defesas comprometidas, já que o driver carregado pelo bootkit interfere nos mecanismos de detecção e bloqueio desses produtos. Até o momento, não foram divulgados números precisos de vítimas, mas a campanha parece ter atingido setores de tecnologia, finanças e energia, onde a proteção de dados é crítica. Para as organizações afetadas, o risco inclui roubo de credenciais, exfiltração de informações sensíveis e a possibilidade de movimentos laterais dentro da rede. A capacidade de operar antes do carregamento do sistema operacional amplia o potencial de dano, pois permite ao atacante manter controle mesmo após a reinstalação de softwares de segurança.
Detalhes técnicos
Do ponto de vista técnico, BlackX se instala no estágio de boot do firmware UEFI, aproveitando a falha Baton Drop para inserir um módulo não assinado na lista de drivers confiáveis. O bootkit então carrega um driver adicional que modifica chamadas de API de segurança, neutralizando funcionalidades de detecção da Kaspersky e da Avast. A exploração requer acesso físico ou privilégios de administrador para modificar o firmware, mas, uma vez inserido, o código persiste mesmo após a formatação de discos ou reinstalação do sistema operacional. O vetor de ataque costuma envolver campanhas de phishing ou comprometimento de fornecedores de hardware, onde o atacante entrega o firmware adulterado como parte de atualizações legítimas. Na prática, a combinação de um bootkit com um driver de interferência cria uma cadeia de ataque que dificulta a remoção, exigindo a re‑flash completa do firmware ou a substituição física da placa‑mãe.
Encerramento
Até o momento, fabricantes de hardware recomendam a verificação de assinaturas de firmware e a aplicação de patches de segurança mais recentes para mitigar a exploração da vulnerabilidade Baton Drop. Organizações que utilizam produtos da Kaspersky e da Avast devem monitorar indicadores de comprometimento específicos ao bootkit BlackX e considerar a implementação de soluções de integridade de firmware. A BleepingComputer destaca que a continuidade de ataques baseados em falhas antigas reforça a necessidade de políticas de atualização rigorosas e de auditorias regulares de segurança de firmware. A comunidade de segurança acompanha o caso, aguardando possíveis divulgações de amostras adicionais que possam ampliar o entendimento sobre a campanha de espionagem em curso.