Una investigación presentada en la cumbre Security Analyst Summit 2026 ha puesto al descubierto las capacidades de BlackX, un bootkit sofisticado que logra eludir los mecanismos de protección de arranque de Windows. Descubierto por la firma de ciberseguridad Kaspersky y atribuido con un grado de confianza moderado al grupo de ciberespionaje estatal APT41, el código malicioso no opera como una vía de infección inicial, sino como una herramienta de persistencia invisible para redes corporativas previamente comprometidas.
El aspecto más crítico del hallazgo radica en que todos los sistemas afectados contaban con las actualizaciones de seguridad de Microsoft al día. La amenaza explota una vulnerabilidad identificada hace cuatro años que no queda resuelta de forma automática mediante la instalación habitual de parches.
-La vulnerabilidad Baton Drop y la trampa del proceso de revocación manual
BlackX se ejecuta en la fase previa al inicio del propio sistema operativo, un punto ciego donde las soluciones antivirus convencionales aún no han cargado sus servicios de supervisión. Su funcionamiento es una evolución técnica de BlackLotus, el código que comenzó a distribuirse en la red oscura en 2022 para neutralizar la tecnología Secure Boot. El vector de ataque se apoya en Baton Drop (registrado bajo el código CVE-2022-21894), un fallo de seguridad presente en el gestor de arranque de Windows.
Aunque Microsoft distribuyó una corrección para este problema en 2022, la protección efectiva del equipo exige un paso adicional que rara vez se ejecuta en entornos de producción:
- Validez de firmas obsoletas: El parche inicial corregía el fallo en el archivo, pero mantenía la confianza en el certificado digital con el que se habían firmado los gestores de arranque antiguos, conocido como Windows Production PCA 2011.
- Intervención directa requerida: Para invalidar definitivamente la firma vulnerable, el administrador de la red debe ejecutar una revocación manual en el registro de firmas prohibidas de la placa base (DBX).
- Riesgo de bloqueo de arranque: La desactivación no se aplica de forma automatizada a través de Windows Update porque aplicar la revocación sin haber migrado previamente los archivos de arranque al nuevo certificado puede dejar el sistema inoperativo.
Los analistas de Kaspersky subrayan la baja tasa de adopción de esta medida preventiva dentro de las organizaciones, un factor que los desarrolladores de BlackX aprovecharon para diseñar su infraestructura de ataque:
«Es extremadamente inusual que un administrador de sistemas tome medidas adicionales después de instalar una actualización.» — Informe técnico de investigación, Kaspersky.
Pese a que el certificado PCA 2011 alcanzó su fecha de expiración formal el 19 de octubre de 2026, la falta de inclusión en la lista de exclusión en los equipos permite que el firmware continúe aceptando la carga de componentes vulnerables de años anteriores.
-Intrusión dirigida, servicios en la nube para espionaje y la situación en usuarios domésticos
El despliegue de BlackX requiere que los atacantes hayan obtenido con anterioridad credenciales de administración dentro de la red corporativa. Una vez asentado el bootkit en la secuencia de encendido, la fase posterior del ataque contempla la ejecución de herramientas de espionaje diseñadas para exfiltrar información a través de servicios legítimos de almacenamiento en la nube, como Google Drive, OneDrive y Yandex Disk, camuflando el tráfico de datos entre la actividad normal de la empresa.
En la intrusión documentada por la firma de seguridad, el intento de deshabilitar las defensas locales fue detectado antes de que los atacantes pudieran iniciar la recolección de documentos diplomáticos. La elección de este método por parte de APT41 responde a la necesidad de mantener actividades de vigilancia de largo plazo sin generar alertas en las consolas de monitorización.
Ante las consultas sobre la vulnerabilidad, portavoces de Microsoft han remitido a los artículos de su base de conocimiento técnico donde se detallan los pasos para aplicar la revocación manual. Para el usuario doméstico, la probabilidad de sufrir un ataque por BlackX es sustancialmente menor debido a la complejidad que exige la fase previa de elevación de privilegios en el equipo, si bien la ventana de vulnerabilidad en la interfaz Secure Boot se mantiene abierta en cualquier sistema que no haya actualizado manualmente su lista de certificados prohibidos.