BlackX elude Secure Boot en equipos Windows actualizados

BlackX logró eludir Secure Boot en equipos Windows con todos los parches de seguridad instalados. Kaspersky detectó este malware de arranque en una campaña contra organizaciones diplomáticas de Asia Central a principios de 2026. Los atacantes ya tenían permisos de administrador y aprovecharon que los equipos seguían aceptando componentes de arranque antiguos y vulnerables.

Cómo elude BlackX el arranque seguro de Windows

Secure Boot comprueba las firmas de los componentes que se cargan al encender el equipo. BlackX aprovecha Baton Drop (CVE-2022-21894) para saltarse esa protección y ejecutar código antes de que Windows y muchas de sus defensas estén en marcha.

Microsoft corrigió el fallo en 2022, pero los atacantes podían recurrir a gestores de arranque antiguos que seguían siendo válidos para Secure Boot. Esos archivos estaban firmados con el certificado Windows Production PCA 2011. En mayo de 2023, Microsoft publicó una mitigación adicional, identificada como CVE-2023-24932, para abordar esa vía de ataque.

Por qué Windows Update no bastó en los equipos afectados

Las actualizaciones de 2024 incorporaron la posibilidad de añadir el certificado de 2011 a la lista de firmas prohibidas de Secure Boot (DBX), pero el administrador debe activar esa medida. Según el análisis técnico de Kaspersky, el certificado caducó el 19 de octubre de 2026. Los componentes vulnerables ya firmados seguían siendo aceptados en los equipos que no habían aplicado la revocación.

El orden importa. Si un equipo todavía depende de un gestor de arranque firmado con el certificado antiguo, revocarlo puede impedir que arranque. También pueden dejar de funcionar algunos medios de recuperación. La guía KB5025885 de Microsoft indica que primero se debe instalar el certificado nuevo, actualizar el gestor de arranque y preparar los medios de recuperación. La fecha de aplicación automática sigue pendiente.

Qué se sabe de la campaña y qué pueden comprobar las empresas

Kaspersky atribuye la campaña a APT41 con un nivel de confianza moderado. Los atacantes desplegaron BlackX después de entrar en las redes y conseguir privilegios de administrador. La firma identificó dos cargas de espionaje asociadas al bootkit. Una podía usar Google Drive, OneDrive o Yandex Disk para recibir órdenes y transferir archivos.

Para los equipos de TI, la comprobación concreta es revisar si se aplicó la revocación. Microsoft identifica el evento 1037 del registro de Windows como confirmación de que el certificado de 2011 se añadió a la DBX. Si queda pendiente, la guía de despliegue empresarial de Microsoft recomienda probar la mitigación en equipos representativos antes de extenderla al resto de la organización.