El bootkit BlackX resucita BlackLotus para burlar Secure Boot en Windows

Un nuevo bootkit UEFI toma prestado el manual de BlackLotus para colarse por debajo de Windows Secure Boot e instalar malware de espionaje en equipos gubernamentales. Identificado como BlackX, apareció a comienzos de 2026 en intrusiones contra agencias diplomáticas y estatales de Tayikistán, Uzbekistán y Turkmenistán. El detalle incómodo: los sistemas comprometidos estaban completamente parcheados.

Qué ocurrió

BlackX no es una herramienta de acceso inicial. Los operadores lo despliegan cuando ya tienen derechos de administrador en la red y lo usan para profundizar y afianzar el compromiso. Cómo se vulneraron esas redes en primer lugar sigue sin conocerse.

Una vez en el equipo, el bootkit abusa de Baton Drop, la elusión de Secure Boot registrada como CVE-2022-21894, para manipular la cadena de confianza del arranque. Escribe sus componentes en las particiones de sistema y EFI, registra claves Machine Owner Keys controladas por el atacante y las utiliza para cargar sus propios binarios EFI antes de que arranque el sistema operativo. Desde ahí inyecta un controlador de kernel firmado con un certificado legítimo, revocado desde entonces, que intenta desactivar los callbacks de seguridad e interferir con Event Tracing for Windows para que los sensores de endpoint vean menos. Cualquier intento de leer sus archivos protegidos en disco se redirige discretamente a un binario inofensivo de Windows. No todas sus rutinas anti-seguridad funcionaron en las pruebas, pero la intención es clara.

El instalador no lleva ninguna carga maliciosa propia. Los componentes reales están en un paquete cifrado aparte, de modo que si los equipos de respuesta recuperan el instalador pero no su archivo complementario, queda poco que analizar.

Se han observado dos cargas en modo usuario:

• Un troyano de acceso remoto en .NET que carga código .NET adicional e intercambia tareas y resultados a través de Google Drive, OneDrive o Yandex.Disk, ocultando el tráfico de mando dentro del uso habitual de la nube.
• OxiDLLRunner, una DLL ofuscada cargada por side-loading mediante un ejecutable legítimo renombrado. Descifra un archivo de datos cercano en shellcode y un implante en Rust que descarga más plugins DLL desde su infraestructura de mando.

La atribución apunta a APT41 con confianza media, basándose en artefactos de desarrollo compartidos, solapamientos con actividad previa de FishMonger, hábitos conocidos de DLL side-loading y ofuscación OLLVM. Es una pista, no un veredicto. Si los autores hicieron ingeniería inversa de BlackLotus o compraron su código fuente sigue sin confirmarse.

Por qué importa

La cadena se parece mucho a BlackLotus, un bootkit anunciado por primera vez en foros clandestinos en 2022. Que siga funcionando en 2026 es la verdadera noticia. La corrección de Baton Drop exige más que una actualización de Windows: los componentes de arranque antiguos firmados bajo el certificado Windows Production PCA 2011 deben revocarse de forma explícita en cada dispositivo, y ese paso no ocurre automáticamente. La caducidad del propio certificado el 19 de octubre tampoco cambió nada, porque los binarios ya firmados siguen arrancando después de la caducidad.

Así, un equipo puede informar de que está "totalmente parcheado" y seguir confiando justo en el gestor de arranque que el atacante necesita. Un bootkit que se carga antes que Windows sobrevive a la reinstalación del sistema operativo, ciega al EDR desde abajo y es muy difícil de detectar desde dentro del sistema en ejecución. Para embajadas y ministerios, es un punto de apoyo silencioso y duradero.

Qué hacer

• Comprueba el estado de confianza del arranque, no el estado de las actualizaciones. Confirma que la base de datos de firmas prohibidas de Secure Boot (DBX) de cada dispositivo Windows contiene realmente las revocaciones de la CA de 2011 y de los gestores de arranque vulnerables.
• Despliega la revocación con cuidado. Los medios de recuperación antiguos, las imágenes de arranque y las configuraciones de arranque dual pueden depender de los certificados que se van a eliminar; prueba antes de aplicarla a gran escala.
• Restringe los derechos de administrador. BlackX solo llega cuando el atacante ya tiene privilegios de administrador; una gestión estricta de privilegios y la vigilancia del movimiento lateral rompen la cadena antes.
• Vigila las técnicas empleadas. Genera alertas ante cambios inesperados en la partición de sistema EFI, nuevas Machine Owner Keys, controladores con certificados revocados y equipos que se comunican con almacenamiento en la nube de consumo sin motivo de negocio.
• Busca los indicadores conocidos que se listan a continuación.

Indicadores conocidos (desactivados):

• Ruta del instalador: C:\ProgramData\Intel\inst.exe
• Nombre del paquete cifrado: PVMDIJGKAX2
• Número de serie del certificado de controlador revocado: 0bcdf5e0da32d68900b8b7638459d072
• Ejecutables usados para side-loading: googleupdate.exe, jcef_helper.exe (MD5 del cargador legítimo AF8A983B9ADA07EAE1259BF2953ABD40)
• Carga Rust cifrada: v8_context_snapshot.bin
• Dominio de mando y control: www[.]archivetj[.]com
• Artefacto de desarrollo: nombre de usuario xdd (C:\Users\xdd\Desktop)
• Exportación del plugin: create_plugin

Esta campaña recuerda que "parcheado" y "protegido" no son sinónimos. Nuestro servicio de escaneo de vulnerabilidades está pensado precisamente para esta brecha: revisa si una corrección está realmente aplicada en el equipo, no solo si la actualización se instaló, de forma que una cadena de arranque que aún confía en un certificado revocado se detecte antes de que la encuentre otro.