El bootkit UEFI BlackX evade Secure Boot en equipos Windows actualizados

Un bootkit UEFI identificado recientemente, llamado BlackX, se ha usado desde principios de 2026 contra organizaciones diplomáticas de Tayikistán, Uzbekistán y Turkmenistán. Su objetivo es arrancar antes que Windows, desactivar las protecciones de arranque y las herramientas de seguridad, y mantener un acceso encubierto y prolongado a los equipos comprometidos. Se sospecha, aunque no está confirmado, que detrás de la actividad está APT41, un grupo patrocinado por un Estado y vinculado a China.

Qué ha pasado

BlackX parece ser una versión actualizada de BlackLotus, el bootkit que se vendía en foros de cibercrimen a finales de 2022. Igual que su predecesor, abusa de CVE-2022-21894 ("Baton Drop"), una vulnerabilidad del Windows Boot Manager que permite evadir Secure Boot.

Microsoft corrigió el fallo hace tiempo, pero instalar la actualización no bastaba. Para cerrar el hueco por completo, los administradores también tenían que revocar manualmente los binarios de arranque vulnerables, y muchas organizaciones nunca dieron ese paso. Un certificado de firma asociado a esos binarios caducó el 19 de octubre de 2026, pero la caducidad por sí sola no impide que se carguen. Solo lo impide incluirlos de forma explícita en la lista de bloqueo. BlackX se aprovecha precisamente de esa brecha.

El código fuente de BlackLotus nunca se publicó. Por eso, quienes crearon BlackX o bien aplicaron ingeniería inversa al original o bien compraron el código. Es poco habitual ver a un grupo de espionaje estatal reutilizar una herramienta del mundo criminal.

La cadena de infección observada hasta ahora:

• Los atacantes acceden a la red por una vía aún desconocida y obtienen privilegios de administrador.
• Dejan un instalador, inst.exe (visto en C:\ProgramData\Intel\), junto con un archivo cifrado sin extensión llamado PVMDIJGKAX2. El instalador se ejecuta con una clave RC4 pasada por línea de comandos.
• Se escriben archivos tanto en la partición del sistema como en la EFI. Después se usa Baton Drop para registrar Machine Owner Keys (MOK) controladas por el atacante, de modo que se pueden cargar archivos EFI arbitrarios y Secure Boot deja de proteger el equipo.
• La fase UEFI carga un controlador de kernel malicioso. Estaba firmado con un certificado que ya ha sido revocado e intenta desactivar las soluciones de seguridad de los endpoints, de forma parecida a un ataque BYOVD (controlador vulnerable aportado por el atacante).
• El controlador despliega después cargas de espionaje. Una es un troyano de acceso remoto que usa Google Drive, OneDrive y Yandex.Disk como canal de mando y control para que su tráfico se confunda con la actividad normal de la empresa. Otra es una DLL llamada OxiDLLRunner, cargada mediante sideloading por un googleupdate.exe legítimo, que ejecuta una carga escrita en Rust y se comunica con archivetj[.]com.

Una cadena de texto compartida, xdd, y el uso de DLL sideloading apuntan a una relación con campañas UEFI anteriores atribuidas al paraguas de APT41. Conviene tomarlo como una pista, no como un veredicto.

Por qué importa

Un bootkit se ejecuta antes que el sistema operativo y sus defensas. Sobrevive a una reinstalación de Windows y puede pasar desapercibido para las herramientas EDR. La lección más importante es otra: un equipo puede figurar como "parcheado" y seguir expuesto. Los sistemas en los que nunca se aplicaron las revocaciones de Baton Drop siguen siendo vulnerables a toda esta familia de bootkits, y BlackX demuestra que atacantes capaces los están buscando.

Qué hacer

1. Aplique las revocaciones de Secure Boot, no solo el parche. Siga las indicaciones de Microsoft para CVE-2022-21894 y CVE-2023-24932. Actualice la lista de revocación DBX y las mitigaciones del boot manager en todo el parque de equipos, y compruebe que el cambio se ha aplicado de verdad.
2. Revise las Machine Owner Keys registradas y la partición de sistema EFI. Busque entradas MOK inesperadas y binarios EFI desconocidos.
3. Busque los indicadores mencionados: inst.exe en C:\ProgramData\Intel\, un archivo PVMDIJGKAX2 sin extensión, googleupdate.exe cargando DLL desde rutas inusuales y tráfico hacia archivetj[.]com.
4. Vigile el uso del almacenamiento en la nube como mando y control. Trate como sospechosos los servidores o equipos que se comunican con Google Drive, OneDrive o Yandex.Disk sin un motivo de negocio.
5. Restrinja los privilegios de administrador. BlackX necesita acceso de administrador para instalarse, así que la higiene de las cuentas privilegiadas y la detección temprana del movimiento lateral siguen siendo la primera línea de defensa.

Huecos como una revocación pendiente pasan fácilmente desapercibidos porque el estado de los parches parece correcto. Nuestro servicio de escaneo de vulnerabilidades mira más allá del nivel de parcheo, hasta la configuración del firmware y de la cadena de arranque, y señala los sistemas que aún necesitan protegerse antes de que los encuentre un atacante.