Várias organizações sofreram invasões de segurança por um novo malware conhecido como BlackX, um bootkit UEFI que conseguiu contornar o recurso "Inicialização Segura" (Secure Boot) em sistemas Windows 11, apesar de estarem totalmente atualizados. Este incidente levanta questões fundamentais sobre a estratégia da Microsoft na gestão de atualizações de segurança complexas.
Qual é a natureza da ameaça?
O BlackX opera da mesma forma que o malware BlackLotus, que surgiu em 2023, explorando uma falha lógica no gerenciador de inicialização do Windows conhecida como "Baton Drop" (registrada sob o CVE-2022-21894). A gravidade desses softwares reside no fato de serem executados em um estágio muito inicial do processo de inicialização do dispositivo, permitindo-lhes carregar drivers maliciosos no núcleo do sistema operacional antes que a maioria das defesas de segurança comece a funcionar. Eles também se caracterizam pela persistência e dificuldade de detecção.
Por que as atualizações falharam na proteção?
Embora a Microsoft tenha lançado atualizações para corrigir essa vulnerabilidade desde 2022, a proteção não foi totalmente automatizada. Pesquisadores da Kaspersky explicaram que as atualizações emitidas pela Microsoft em 2023 e 2024 não revogaram automaticamente a confiança em certificados digitais antigos, por receio de causar a falha na inicialização de milhões de dispositivos.
Em vez disso, a Microsoft deixou a responsabilidade de tomar medidas manuais adicionais para os administradores de sistemas a fim de ativar a proteção completa, instruções que os pesquisadores descreveram como "ocultas" na documentação de suporte técnico e difíceis para os profissionais de TI comuns perceberem ou executarem.
O que isso significa para os usuários?
Este incidente destaca a lacuna entre o lançamento de um patch de segurança e sua aplicação real. Enquanto as organizações acreditam estar protegidas assim que instalam atualizações periódicas, a proteção contra vulnerabilidades UEFI exige procedimentos manuais adicionais que não são claramente divulgados. Os especialistas acreditam que os invasores aproveitaram essa ambiguidade, sabendo que poucas organizações ativam os procedimentos de proteção manual necessários, tornando a replicação das técnicas do BlackLotus e o desenvolvimento do BlackX um investimento bem-sucedido para os hackers.
Até o momento, a Microsoft não emitiu um aviso explícito aos usuários de que as atualizações atuais por si só não oferecem proteção completa contra os ataques "Baton Drop", deixando os administradores de sistemas em um estado de incerteza sobre como proteger definitivamente seus dispositivos.