Kaspersky informó de una campaña de BlackX detectada a principios de 2026 contra organismos diplomáticos de Tayikistán, Uzbekistán y Turkmenistán. La firma dijo que los atacantes desplegaron el bootkit después de comprometer las redes y obtener privilegios de administrador. En los sistemas objetivo, instalar las actualizaciones pertinentes no activaba por sí solo la revocación adicional de Secure Boot que Kaspersky describe.
Cómo BlackX ataca el arranque de Windows
BlackX es un bootkit UEFI, un tipo de malware que manipula el proceso de arranque del equipo. Kaspersky afirma que explota Baton Drop, la vulnerabilidad CVE-2022-21894 del gestor de arranque de Windows, y que instala claves personalizadas de propietario de máquina para permitir la carga de archivos EFI controlados por los atacantes.
Kaspersky comparó BlackX con BlackLotus, pero señaló diferencias en la implementación del exploit y en los controladores. También describió un controlador de kernel que interfería con mecanismos de seguridad relacionados con procesos, hilos y cambios del registro, además de alterar proveedores ETW, utilizados para registrar eventos del sistema.
La cadena técnica incluía otras cargas. Kaspersky observó un troyano de acceso remoto que utilizaba servicios de almacenamiento en la nube para comunicarse con sus operadores y una carga llamada OxiDLLRunner que descifraba un implante escrito en Rust.
Instalar los parches no activa automáticamente la revocación
Las actualizaciones de Windows y la revocación de los gestores de arranque vulnerables son acciones distintas. Kaspersky indicó que los equipos objetivo tenían instalados los parches pertinentes, pero que su instalación no realizaba automáticamente la revocación que describe. Esa activación adicional incluye una marca en el registro de Windows y una tarea programada llamada Secure-Boot-Update.
La revocación busca que los componentes vulnerables dejen de ser aceptados durante el arranque seguro. Por eso, la fecha de caducidad de un certificado no equivale por sí sola a bloquear los archivos firmados con él: Kaspersky señaló que esos binarios pueden seguir cargándose si el certificado no está en la lista de bloqueo.
Qué implica la caducidad de Windows Production PCA 2011
El certificado Windows Production PCA 2011 expiró el 19 de octubre de 2026. Microsoft indicó que esa caducidad no impide por sí sola que los dispositivos Windows arranquen, según su orientación sobre la expiración del certificado y las actualizaciones del gestor de arranque. La expiración y la revocación de componentes vulnerables son, por tanto, cuestiones separadas.
Qué dijo Kaspersky sobre el ataque
En un comunicado del 21 de octubre de 2026, Kaspersky afirmó que su producto de seguridad bloqueó un intento de BlackX de desactivar la protección del endpoint y que el ataque fracasó. La empresa atribuyó esa respuesta a sus soluciones de seguridad en su comunicado sobre BlackX.
