Kaspersky alerta de BlackX, un nuevo bootkit capaz de esquivar las defensas de arranque de Windows
- Seguridad
La amenaza aprovecha una vulnerabilidad cuya mitigación requiere acciones adicionales por parte de los administradores, incluso en sistemas actualizados. Según los investigadores, esta técnica evidencia la creciente sofisticación de los atacantes para lograr persistencia y permanecer ocultos en los entornos corporativos.
Kaspersky ha identificado una nueva amenaza avanzada denominada BlackX, un bootkit diseñado para comprometer sistemas Windows antes incluso de que se inicie el sistema operativo. La investigación, presentada durante el Security Analyst Summit 2026, revela que los atacantes aprovecharon una deficiencia en una actualización de seguridad de Microsoft para instalar un malware capaz de eludir mecanismos de protección críticos y mantener acceso persistente a los equipos comprometidos.
Según el equipo Global Research and Analysis Team (GReAT) de Kaspersky, la amenaza fue detectada durante la investigación de un ataque APT dirigido contra organizaciones diplomáticas de Asia Central a principios de 2026. Las soluciones de seguridad de la compañía lograron bloquear el ataque, lo que permitió analizar posteriormente las técnicas utilizadas por los ciberdelincuentes.
Los investigadores describen BlackX como una evolución de BlackLotus, un conocido bootkit que comenzó a comercializarse en foros de ciberdelincuencia en 2022. La nueva variante está diseñada para sortear la función Secure Boot de Windows, encargada de garantizar que únicamente se cargue software de confianza durante el arranque del equipo.
Una vulnerabilidad corregida, pero no completamente mitigada
La amenaza explota una vulnerabilidad conocida como "Baton Drop". Aunque Microsoft publicó una actualización para corregir el problema, Kaspersky explica que la protección completa requiere la ejecución manual de pasos adicionales por parte de los administradores de sistemas. Muchas organizaciones no completaron esta configuración, lo que dejó abierta la posibilidad de explotación incluso en sistemas parcheados.
Una vez obtenidos privilegios administrativos y comprometida la red de la víctima, los atacantes desplegaban BlackX como una herramienta de persistencia avanzada. Para dificultar su detección, distribuían los componentes del malware mediante archivos cifrados e instaladores personalizados diseñados específicamente para evadir los mecanismos de seguridad.
Tras aprovechar la vulnerabilidad, BlackX instala un componente capaz de desactivar soluciones de seguridad. En el caso investigado, la protección endpoint de Kaspersky consiguió bloquear este comportamiento, impidiendo que el ataque avanzara.
De haber tenido éxito, los atacantes habrían desplegado posteriormente un spyware capaz de utilizar servicios legítimos en la nube, como Google Drive, OneDrive o Yandex Disk, para sustraer información confidencial y monitorizar las actividades de las víctimas.
"La aparición de BlackX es especialmente relevante porque rara vez vemos que grupos APT tomen prestados directamente código o conceptos del entorno del cibercrimen", explica Georgy Kucherin, experto en seguridad de Kaspersky GReAT. El investigador añade que esta estrategia demuestra que actores avanzados pueden reutilizar herramientas desarrolladas originalmente para el cibercrimen con el objetivo de mantener un acceso persistente e invisible a redes de alto valor.
Ante este tipo de amenazas, Kaspersky recomienda que los equipos de TI completen manualmente las acciones indicadas por Microsoft para mitigar completamente la vulnerabilidad Baton Drop y otras similares. Asimismo, aconseja limitar los privilegios administrativos e implementar soluciones de seguridad capaces de supervisar la integridad del firmware y detectar intentos de explotación incluso cuando no existe todavía un parche disponible.
