El Global Research and Analysis Team (GReAT) de Kaspersky ha descubierto un nuevo y sofisticado bootkit, BlackX, que permitió llevar a cabo ataques mediante la explotación de una deficiencia en una actualización de seguridad publicada por Microsoft. La investigación, que detalla cómo los ciberdelincuentes implantaron un malware que se ejecuta antes de que se inicie Windows, fue presentada en el Security Analyst Summit 2026, celebrado en Bali, Indonesia. Los expertos atribuyen la campaña con un nivel de confianza moderado al grupo APT41 e identifican BlackX como un sucesor modernizado del conocido bootkit BlackLotus.
A principios de 2026, las soluciones de seguridad de Kaspersky bloquearon con éxito un ataque APT dirigido contra organizaciones diplomáticas de Asia Central. La posterior investigación llevada a cabo por Kaspersky GReAT reveló que los atacantes utilizaron BlackX, un malware complejo y sigiloso diseñado específicamente para eludir las defensas de inicio del sistema operativo Windows, así como muchas soluciones de seguridad de terceros, y mantener un acceso invisible y prolongado a los dispositivos de las víctimas.
La investigación reveló que BlackX es una versión actualizada y modernizada de un implante denominado BlackLotus, que fue vendido en la Dark Web por ciberdelincuentes en 2022. Puede eludir la función Secure Boot, diseñada para garantizar que solo se ejecute software de confianza cuando se inicia un PC. Esto se consigue mediante la explotación de una vulnerabilidad conocida anteriormente como «Baton Drop». Aunque Microsoft publicó un parche para corregir esta vulnerabilidad, la actualización requiere que los administradores de sistemas completen manualmente determinados pasos de configuración para activar completamente la protección. Muchas organizaciones no han realizado estos pasos manuales y han permanecido vulnerables. Por ello, los ciberdelincuentes han podido utilizar la vulnerabilidad Baton Drop incluso en sistemas que tenían instalado el parche.
Los ciberdelincuentes desplegaron el bootkit BlackX como un malware secundario de alta persistencia después de haber comprometido las redes internas y obtenido privilegios administrativos en los equipos Windows de las víctimas. Para ocultar sus actividades a los equipos de respuesta ante incidentes, los ciberdelincuentes distribuyeron los componentes del bootkit en los dispositivos de las víctimas mediante archivos cifrados y programas de instalación personalizados diseñados específicamente para evadir la detección.
Tras explotar con éxito la vulnerabilidad, BlackX despliega un componente que desactiva el software de seguridad. Cabe destacar que la protección de endpoints de Kaspersky bloqueó el intento del malware de desactivarla y el ataque fracasó. Si hubieran conseguido desactivar la protección de seguridad, el siguiente paso de los ciberdelincuentes habría sido ejecutar un spyware que abusa de servicios legítimos en la nube, como Google Drive, OneDrive y Yandex Disk, para robar información confidencial y supervisar las actividades de las víctimas.
«La aparición de BlackX es especialmente relevante porque rara vez vemos que grupos APT tomen prestados directamente código o conceptos (en este caso, BlackLotus) del entorno del cibercrimen. Al adaptar una herramienta comercial de ciberdelincuencia, el grupo pudo eludir los procedimientos diseñados para proteger los procesos de arranque de Windows. Este enfoque híbrido demuestra que los ciberdelincuentes sofisticados no necesitan reinventar la rueda para establecer un control persistente e invisible sobre redes de alto valor», señala Georgy Kucherin, experto en seguridad de Kaspersky GReAT.
Para más información sobre el caso, se puede consultar el informe completo en el siguiente enlace.
Para protegerse frente a esta y otras amenazas similares, las organizaciones deben asegurarse de que sus departamentos de TI ejecuten manualmente los pasos recomendados por Microsoft para corregir Baton Drop y otras vulnerabilidades similares. Además, las organizaciones deben restringir los privilegios administrativos e implementar soluciones de seguridad capaces de supervisar la integridad del firmware. El componente Exploit Prevention de las soluciones endpoint de Kaspersky evita que se ejecuten exploits incluso cuando el parche no está aplicado o cuando se trata de una vulnerabilidad de día cero para la que todavía no existe un parche.
