Kaspersky ha identificado un bootkit llamado BlackX capaz de infectar ordenadores con Windows que tenían todas las actualizaciones de seguridad instaladas. La firma detectó el ataque este año y lo atribuye, con confianza moderada, al grupo APT41. El malware se apoya en un fallo de 2022 que Microsoft corrigió solo a medias, porque la protección completa exige un paso manual que casi ningún administrador llega a activar.
La investigación se presentó en la Security Analyst Summit 2026, y según la compañía, todas las víctimas de BlackX usaban una versión de Windows con las actualizaciones de seguridad instaladas, lo que demuestra que el parche publicado en 2022 no cierra por sí solo la puerta que explota este bootkit. Para instalarlo, los atacantes ya habían entrado antes en las redes internas de sus objetivos y habían logrado permisos de administrador: BlackX no es la vía de entrada, sino el mecanismo que les permite quedarse dentro del sistema de forma invisible y prolongada.
Cómo logra BlackX esquivar Secure Boot
BlackX es un bootkit: un programa que se ejecuta antes de que arranque Windows, en el instante en que buena parte de las defensas del sistema todavía no están activas. Kaspersky lo describe como una versión modernizada de BlackLotus, un software que circulaba en la web oscura desde 2022 y que ya entonces servía para sortear las protecciones de arranque de Windows. Al actuar en esa fase previa, el malware se instala sin levantar las alertas que normalmente detectarían un proceso malicioso en marcha.
La pieza que hace posible el ataque es Baton Drop, una falla del gestor de arranque registrada como CVE-2022-21894 que permite saltarse Secure Boot, la función que comprueba que, al encender el equipo, solo se ejecute software de confianza. Microsoft corrigió esta vulnerabilidad en 2022, pero la corrección por sí sola no bastaba: el sistema seguía confiando en el certificado digital con el que se habían firmado los gestores de arranque antiguos y vulnerables, y ese certificado siguió siendo válido durante años.
La revocación del certificado exige un paso manual
En mayo de 2023, Microsoft inició un proceso pensado para durar varios años: añadió un certificado nuevo y, ya en 2024, ofreció una vía para revocar el antiguo, conocido como Windows Production PCA 2011. El problema es que esa revocación no ocurre al instalar el parche. Según Kaspersky, el administrador tiene que activarla de forma manual, y Microsoft diseñó el proceso así a propósito: revocar el certificado antiguo antes de instalar el nuevo puede dejar un equipo sin poder arrancar, según ha explicado Ars Technica.
«Es extremadamente inusual que un administrador de sistemas tome medidas adicionales después de instalar una actualización», escribió un investigador de Kaspersky en el informe. Según la compañía, las instrucciones para activar esta protección están enterradas en el sitio de Microsoft y resultan difíciles de advertir incluso para quienes gestionan la seguridad de una red. El certificado PCA 2011 venció finalmente el 19 de octubre de 2026, pero su caducidad no impide por sí sola que los equipos sigan cargando los componentes vulnerables: mientras no se añada a la lista de firmas prohibidas, Windows continúa confiando en él.
Kaspersky atribuye el ataque, con confianza moderada, al grupo de hackers APT41. Las víctimas identificadas pertenecen principalmente a empresas y la compañía cree probable que los atacantes supieran que pocas organizaciones activan el parche manual: por eso, según su hipótesis, invirtieron tiempo en estudiar BlackLotus y construir una copia adaptada a sus objetivos.
De haber completado el ataque, el siguiente paso habría sido instalar un programa espía que se apoya en servicios legítimos en la nube, como Google Drive, OneDrive y Yandex Disk, para robar información y vigilar a las víctimas sin levantar sospechas. En el caso que investigó, Kaspersky bloqueó el intento de desactivar el antivirus antes de que esa fase pudiera completarse, lo que impidió que los atacantes llegaran a desplegar el software espía.
El objetivo final, sostener una vigilancia prolongada sobre comunicaciones diplomáticas sin levantar alarmas, coincide con el patrón de persistencia que caracteriza a los bootkits: una vez instalado antes del arranque de Windows, BlackX queda fuera del alcance de buena parte de las herramientas de detección habituales. Eso explicaría el interés de los atacantes en perfeccionar esta técnica concreta en lugar de recurrir a métodos más rápidos pero más fáciles de detectar por un antivirus convencional.
Qué pasa con los usuarios domésticos
Un portavoz de Microsoft respondió por correo que la compañía recomienda seguir la guía publicada en un artículo de su base de conocimiento, difundido dos semanas antes de que trascendiera el caso. Según el propio medio, ese texto no advierte de que los parches publicados hasta ahora no protegen contra los ataques que explotan Baton Drop; el paso manual de revocación aparece descrito, en realidad, en otro artículo distinto, publicado en 2023.
De momento no está clara la situación de los usuarios domésticos de Windows, ya que BlackX requiere que los atacantes hayan obtenido antes acceso a la red y permisos de administrador, algo mucho menos habitual en un equipo particular que en la red de una organización. Microsoft, de momento, no ha anunciado ninguna fecha para activar la revocación del certificado de forma automática, así que la ventana que aprovecha BlackX sigue abierta mientras cada administrador no complete ese paso por su cuenta.
La distinción importa porque BlackX no funciona como una puerta de entrada independiente: necesita que los atacantes ya hayan logrado antes acceso a la red y privilegios de administrador, un escenario propio de una intrusión dirigida contra una organización y poco frecuente en un ordenador personal gestionado por un único usuario. Eso no significa que el fallo de Secure Boot deje de existir en esos equipos, sino que el patrón de explotación descrito por Kaspersky encaja con más facilidad en redes corporativas o gubernamentales que cuentan con administradores de sistemas y certificados gestionados de forma centralizada.