A correção para isto existe desde 2023. Quase ninguém a ligou.

Há uma semana escrevemos sobre o fim da validade do certificado Microsoft Windows Production PCA 2011 a 19 de outubro e mencionámos o BlackLotus, o bootkit que carrega antes do Windows e, por isso, antes de alguma coisa o conseguir ver. A Kaspersky publicou agora a análise de uma cópia do BlackLotus usada em ataques reais, e o mais interessante não é o programa malicioso.

Chama-se BlackX. A equipa GReAT da Kaspersky descreveu-o a 22 de outubro e o BleepingComputer seguiu a 24. Foi usado no início de 2026 contra representações diplomáticas no Tajiquistão, no Uzbequistão e no Turquemenistão, e é atribuído com confiança média ao APT41. Explora a CVE-2022-21894, a falha apelidada de Baton Drop, para registar uma Machine Owner Key própria e carregar o ficheiro EFI que lhe apetecer, passando ao lado do Secure Boot. Depois instala um controlador de kernel, assinado com um certificado emitido a uma entidade chamada Wenjiang District Mingyu Network Technology Service Studio, que adultera em silêncio os produtos da Kaspersky e da Avast se encontrar algum instalado. O controlador esconde também os ficheiros do bootkit, e se tentar abrir um deles abre-se antes a calculadora do Windows.

Agora a parte que interessa a toda a gente. Aquelas máquinas estavam atualizadas. A Microsoft corrigiu o Baton Drop em 2023, mas instalar a correção não revoga os componentes de arranque vulneráveis, porque essa revogação deitaria abaixo as configurações com arranque duplo. Alguém tem de colocar uma chave no registo e lançar uma tarefa agendada para terminar o trabalho, e na prática quase ninguém o faz. A proteção foi entregue. Ficou ali desligada durante três anos.

Nenhum PC doméstico interessa a um grupo de espionagem que trabalha sobre embaixadas na Ásia Central, por isso esta noite não há motivo de alarme. O hábito que vale a pena levar daqui é mais modesto: "totalmente atualizado" e "totalmente protegido" não são a mesma frase, e o estado do Secure Boot na sua máquina merece um olhar agora que a troca de certificado já passou. A verificação de segurança do Tendvane lê esse mesmo estado, juntamente com o BitLocker, sem ter de andar à procura nos menus.