Se ha detectado un nuevo bootkit de UEFI llamado BlackX, utilizado en ataques de ciberespionaje contra organizaciones diplomáticas en Tayikistán, Uzbekistán y Turkmenistán. Este malware logra vulnerar el Secure Boot de Windows, una función diseñada para evitar la ejecución de software no confiable durante el arranque, afectando incluso a sistemas que estaban completamente actualizados.

Un nuevo bootkit de UEFI llamado BlackX ha sido utilizado en ataques de ciberespionaje contra organizaciones diplomáticas en Tayikistán, Uzbekistán y Turkmenistán.

El malware tiene como objetivo Secure Boot (Arranque Seguro), una función diseñada para ayudar a evitar que software no confiable se ejecute antes de que Windows se inicie.

Los investigadores afirman que los ordenadores infectados habían recibido actualizaciones de Windows, pero una protección clave de Secure Boot no se había aplicado completamente.

Analistas de Securelist informaron los hallazgos el 22 de octubre de 2026. Indican que BlackX utiliza Baton Drop, una vulnerabilidad rastreada como CVE-2022-21894, y comparte partes de su diseño con el bootkit BlackLotus.

Los hallazgos muestran por qué una actualización instalada no siempre significa que la protección que debe proporcionar haya sido activada totalmente. El informe de BlackX de Securelist describe el malware y la campaña en detalle.

BlackX se instala después de que los atacantes ya han obtenido acceso a la red de la víctima y derechos de nivel de administrador. Su instalador, inst.exe, trabaja con un archivo cifrado llamado PVMDIJGKAX2, que contiene los componentes necesarios para instalar el malware.

Securelist dice que este diseño puede dificultar que los respondedores de incidentes recuperen todas las partes del bootkit solo a partir del instalador. El bootkit utiliza Baton Drop para cargar archivos EFI controlados por el atacante e interferir con Secure Boot.

Los archivos EFI se ejecutan durante el proceso de inicio del ordenador, antes de que Windows se cargue. Al ganar un lugar en esa secuencia temprana, un bootkit puede dar al código malicioso la oportunidad de ejecutarse antes de que muchas herramientas de seguridad del sistema operativo estén activas.

Los hackers utilizan el nuevo bootkit BlackX

Puedes aprender más sobre los riesgos relacionados con el tiempo de arranque en este informe sobre la gestión de la configuración de UEFI Secure Boot.

Securelist indica que el controlador del kernel de la campaña intenta debilitar las herramientas de seguridad interrumpiendo las llamadas recurrentes (callbacks) de procesos, hilos y registro, y interfiriendo con el Event Tracing for Windows (ETW), que el software puede usar para recopilar la actividad del sistema.

También intenta ocultar sus archivos: cuando se realizan ciertas solicitudes de archivos, se informa que el controlador devuelve un identificador al proceso legítimo calc.exe en lugar de al archivo malicioso solicitado.

El bootkit también entrega malware en modo usuario para espionaje. Una de las cargas útiles es un troyano de acceso remoto que puede cargar código .NET adicional y utilizar Google Drive, OneDrive o Yandex.Disk para la comunicación de comando y control.

Otra, llamada OxiDLLRunner por los investigadores, descifra un archivo llamado v8_context_snapshot.bin y ejecuta una carga útil en Rust que contacta con un dominio de comando y control reportado.

El informe vincula la actividad con APT41 con una confianza media, basándose en coincidencias con actividad reportada previamente y detalles técnicos compartidos. Esa evaluación no es una atribución definitiva.

Por qué los sistemas parcheados seguían en riesgo

El problema no era simplemente que los ordenadores objetivo carecieran de actualizaciones de Windows. Securelist dice que la protección contra Baton Drop depende de la revocación de la confianza en el certificado “Windows Production PCA 2011” utilizado para firmar componentes UEFI vulnerables.

Instalar una actualización y aplicar esa revocación son pasos separados en el proceso descrito por los investigadores. La guía de Microsoft para el CVE-2023-24932 también describe múltiples pasos para desplegar protecciones de Secure Boot, incluyendo la actualización de certificados, administradores de arranque y la lista de revocación de UEFI.

Sus instrucciones advierten que el bloqueo de componentes de arranque antiguos puede afectar a los medios de recuperación y otras opciones de arranque, por lo que deberías probar los cambios y preparar opciones de recuperación antes de aplicarlos ampliamente. Consulta la guía de revocación de Secure Boot de Microsoft.

La distinción es importante porque Windows puede informar que las actualizaciones están instaladas incluso cuando la lista de firmas prohibidas del firmware aún no se ha actualizado como se pretendía.

Securelist informó que la expiración del certificado el 19 de octubre de 2026 no detuvo por sí sola la carga de binarios vulnerables; el certificado debe ser bloqueado por el mecanismo de revocación correspondiente.

Por lo tanto, deberías verificar la configuración de Secure Boot y el estado de revocación de tus dispositivos, siguiendo las instrucciones actuales de Microsoft y teniendo en cuenta las necesidades de arranque y recuperación de tu organización.

BlackX no es la primera historia de bootkit que plantea dudas sobre la confianza en componentes de arranque antiguos. Anteriormente se ha cubierto BlackLotus y cómo una técnica de degradación (downgrade) podría dejar un dispositivo Windows expuesto a pesar de tener un estado actualizado. Ese contexto ayuda a explicar por qué la protección de Secure Boot depende de algo más que el estado visible de actualización de Windows.

Fuentes:
https://cybersecuritynews.com/hackers-use-new-blackx-bootkit/