Um bootkit UEFI sofisticado chamado BlackX tem como alvo organizações diplomáticas na Ásia Central, explorando a vulnerabilidade Baton Drop (CVE-2022-21894) para contornar o Secure Boot em sistemas Windows patchados. A atividade, suspeita de ser orquestrada pelo grupo APT41, ligado à China, visa entidades diplomáticas no Tajiquistão, Uzbequistão e Turcomenistão.
Detalhes Técnicos
Grupo Ator: APT41 (também conhecido como Wicked Panda, Brass Typhoon, BARIUM), um grupo de espionagem estatal patrocinado pela China.
Vulnerabilidade: CVE-2022-21894, conhecida como Baton Drop, explorada para instalar drivers maliciosos no kernel do Windows.
Técnica: Uso de bootkit UEFI para bypassar o Secure Boot, permitindo a execução de código malicioso antes do carregamento do sistema operacional.
Impacto: Organizações diplomáticas em Tajiquistão, Uzbequistão e Turcomenistão foram alvo em meados de 2026.
Ferramentas: Implantação de payloads de ciberespionagem, incluindo um RAT que utiliza armazenamento em nuvem para comando e controle.
Ações Recomendadas
Verificar se os sistemas estão atualizados com os patches mais recentes para a vulnerabilidade CVE-2022-21894.
Ativar o Secure Boot e garantir que esteja configurado corretamente.
Monitorar atividades suspeitas que possam indicar a presença do bootkit BlackX.
Implementar medidas de segurança de rede para detectar e prevenir a comunicação com servidores de comando e controle.
