Se ha detectado BlackX, un nuevo bootkit UEFI atribuido al grupo chino APT41, que ataca agencias diplomáticas en Asia Central. Utiliza la vulnerabilidad "Baton Drop" para evadir el Secure Boot de Windows 11, basándose en el código de BlackLotus para desactivar antivirus y desplegar herramientas de espionaje. A pesar de existir parches, el ataque tiene éxito porque la revocación del certificado comprometido requiere una activación manual por parte del administrador.





Un nuevo bootkit de UEFI llamado BlackX, desplegado en una campaña de espionaje a principios de 2026, explotó la antigua vulnerabilidad Baton Drop para eludir el Secure Boot y cargar un controlador malicioso diseñado para interferir con las soluciones de seguridad de Kaspersky y Avast.

La operación ha sido atribuida con confianza media a APT41, un grupo de amenazas patrocinado por el estado chino también conocido como Brass Typhoon, Wicked Panda y Barium.

Fue descubierto a principios de 2026 y tuvo como objetivo agencias diplomáticas en Asia Central, particularmente en Tayikistán, Uzbekistán y Turkmenistán.

Investigadores de Kaspersky analizaron el bootkit BlackX y encontraron similitudes con BlackLotus, que ha estado circulando en foros de hackers desde octubre de 2022 y aprovechó la vulnerabilidad Baton Drop (CVE-2022-21894) para evadir la protección de Secure Boot.

ESET confirmó en marzo de 2023 que BlackLotus explotó Baton Drop y, en aquel momento, podía comprometer incluso sistemas de Windows 11 totalmente actualizados.

Según los investigadores de Kaspersky, la implementación del exploit de BlackX es "notablemente similar" a la utilizada por BlackLotus, lo que permite al atacante registrar Machine Owner Keys (MOKs) personalizadas y cargar archivos EFI arbitrarios para eludir las protecciones de Secure Boot.

Sin embargo, BlackX difiere de BlackLotus y despliega un controlador de kernel y cargas útiles (payloads) diferentes. Kaspersky sugiere que BlackX se derivó ya sea de la ingeniería inversa de BlackLotus o de su código fuente.

Aunque el código fuente de BlackLotus se filtró en julio de 2023, la publicación fue incompleta aquí. Los investigadores de Kaspersky descubrieron que algunas muestras de BlackLotus que analizaron contenían código ausente en el repositorio público pero presente en el bootkit BlackX.

Dado que el operador de BlackX no podría haber obtenido este código del repositorio filtrado, los investigadores creen que el atacante realizó ingeniería inversa de BlackLotus o compró su código fuente.

capacidades de blackx

BlackX inyecta un controlador de kernel de Windows malicioso firmado con un certificado ahora revocado emitido a una organización llamada Wenjiang District Mingyu Network Technology Service Studio.

El controlador desactiva procesos relacionados con la seguridad y callbacks del registro, y manipula los proveedores de Event Tracing for Windows (ETW) para obstruir la monitorización.

Los investigadores señalan que algunos procedimientos de manipulación están configurados para ejecutarse solo si se detectan productos de Kaspersky o Avast en el host objetivo, añadiendo que el mecanismo es inútil contra las soluciones de la empresa.

El controlador también protege los archivos del bootkit interceptando las solicitudes de los usuarios para abrirlos y lanzando la Calculadora de Windows en su lugar.

Su propósito es también desplegar las siguientes cargas útiles de espionaje en las máquinas infectadas:

1. Un RAT que utiliza Google Drive, OneDrive o Yandex.Disk para el comando y control (C2) para ejecutar payloads .NET y cargar y descargar archivos.
2. OxiDLLRunner, una DLL ofuscada con OLLVM cargada lateralmente por googleupdate.exe. Desencripta v8_context_snapshot.bin para lanzar shellcode y una carga útil de Rust, que recupera plugins DLL de archivetj[.]com y ejecuta sus funciones ‘create_plugin’ en hilos separados.

Corrección insuficiente

Kaspersky afirma que todas las víctimas de BlackX utilizaban una versión de Windows totalmente actualizada. Sin embargo, el bootkit tuvo éxito porque los administradores no activaron manualmente las revocaciones adicionales de Secure Boot.

“El parche para la vulnerabilidad Baton Drop está diseñado para revocar el certificado ‘Windows Production PCA 2011’ utilizado para firmar componentes UEFI vulnerables”, explica Kaspersky aquí.

“Sin embargo, esta revocación no ocurre automáticamente tras la instalación del parche; el usuario debe activarla manualmente”.

Los investigadores afirman que esto es un fallo en el proceso de actualización, ya que es extremadamente raro que los administradores realicen alguna acción manual después de aplicar una actualización de seguridad.

Creen que el atacante utilizó este vacío de mitigación a su favor y "decidió invertir tiempo en comprender cómo funciona BlackLotus y crear una copia de este bootkit".

Las instrucciones para parchear completamente Baton Drop (CVE-2022-21894) están disponibles aquí.

Los investigadores advierten que la fecha de vencimiento del certificado “Windows Production PCA 2011” el 19 de octubre de 2026 no impide que los binarios vulnerables se carguen en los sistemas Windows a menos que los administradores añadan el certificado a una lista de bloqueo.

Fuente:
BleepingComputer