El bootkit UEFI BlackX: cómo el bypass Baton Drop alcanza sistemas Windows completamente parcheados
Investigadores del Global Research and Analysis Team (GReAT) de Kaspersky han publicado detalles de BlackX, un bootkit UEFI que se instala por debajo del sistema operativo en máquinas Windows completamente parcheadas. Los investigadores vinculan el implante a una campaña de espionaje contra organizaciones diplomáticas de Asia Central y lo atribuyen a APT41 con confianza media; The Hacker News informa de que abusa del bypass de Secure Boot conocido como “Baton Drop” (CVE-2022-21894). Como la corrección de esa vulnerabilidad exige un paso manual que muchos administradores nunca ejecutaron, un fallo parcheado en 2022 vuelve a ser útil a nivel de firmware.
Qué es BlackX
BlackX es un bootkit: en lugar de atacar Windows desde dentro, manipula el proceso de arranque para que su código se ejecute antes de que cargue el sistema operativo. Los investigadores de Kaspersky lo describen como similar a BlackLotus, el anterior bootkit conocido por explotar la misma vulnerabilidad, y The Hacker News lo presenta como una versión actualizada de esa estirpe. La comparación importa porque BlackLotus demostró que los bypass de Secure Boot no son teóricos: cuando existe un bootkit funcional, la protección que los usuarios creen activada puede neutralizarse en silencio.El bypass Baton Drop
CVE-2022-21894 permite a un atacante con acceso administrativo a una máquina –o acceso físico breve– registrar sus propias claves y cargar código sin firmar durante el arranque. Microsoft publicó una corrección en 2022, pero el parche por sí solo no completa el trabajo: los gestores de arranque vulnerables también deben revocarse, y ese paso debe aplicarse manualmente. Los sistemas donde se omitió siguen siendo explotables incluso con todas las actualizaciones de Windows instaladas, como explica el equipo de threat research de Aviatrix en su análisis de la campaña.“El parche de Microsoft para CVE-2022-21894 no revoca automáticamente el certificado vulnerable 'Windows Production PCA 2011': los administradores deben activar manualmente la revocación de Secure Boot tras aplicar el parche”. – Investigadores de amenazas de AviatrixUn detalle relacionado se malinterpreta con facilidad. El certificado “Windows Production PCA 2011”, que encadenaba los gestores de arranque vulnerables al almacén de confianza de Microsoft, expiró el 19 de octubre de 2026. Los investigadores advierten de que esa expiración no arregla nada por sí sola: los binarios vulnerables siguen cargándose salvo que se revoquen explícitamente. Lo que importa es la revocación, no el calendario.
Una campaña de espionaje por debajo del SO
Según Kaspersky, BlackX se desplegó a principios de 2026 contra organizaciones diplomáticas de Tayikistán, Uzbekistán y Turkmenistán. La compañía vincula la campaña con APT41, un actor estatal chino, con confianza media; una valoración que Aviatrix comparte y en la que señala que el grupo también se rastrea como Brass Typhoon. Como ocurre con toda atribución sin condena judicial, la etiqueta describe la lectura que hacen los investigadores de las pruebas, no un hecho establecido. La cadena en sí empieza de forma convencional: los atacantes necesitan acceso administrativo, tras lo cual registran su propia clave y colocan el bootkit donde el firmware lo ejecutará. Desde ahí, el implante carga un controlador de kernel firmado con un certificado que desde entonces ha sido revocado. Según el análisis de Kaspersky, el controlador elimina las devoluciones de llamada de proceso, hilo y registro del software de seguridad y manipula el event tracing, cegando eficazmente las herramientas de seguridad en las máquinas infectadas.- El bootkit persiste por debajo del sistema operativo, en una capa que la mayoría de herramientas de endpoint nunca inspeccionan.
- Un controlador de kernel desactiva herramientas de seguridad eliminando callbacks y manipulando el trazado, lo que deja a los defensores con una imagen incompleta.
- La carga final es un troyano de acceso remoto cuyo canal de mando se esconde en servicios legítimos de almacenamiento en la nube como Google Drive, OneDrive y Yandex.Disk.
- Los investigadores observaron componentes loader entregados mediante DLL side-loading y ofuscados para resistir el análisis.
Lo que sobrevive a una reinstalación
La consecuencia práctica para defensores y operadores de laboratorios caseros es incómoda pero simple: reinstalar Windows no elimina un bootkit de forma fiable. El implante vive en la partición EFI del sistema, y una reinstalación rutinaria no borra necesariamente esa partición ni restaura los binarios de arranque que contiene. Una máquina puede arrancar en un Windows recién instalado y totalmente actualizado y aun así cargar código del atacante primero. Para ser claros: estos implantes no se propagan solos –el atacante necesita primero acceso administrativo o físico–, pero una vez instalado uno, el reflejo de “formatear y reinstalar” no es la página en blanco que parece.Lo que de verdad merece revisarse
- Confirmar que Secure Boot está activado (msinfo32 muestra el Secure Boot State en Windows).
- Aplicar la guía de Microsoft para revocar gestores de arranque vulnerables en vez de asumir que las actualizaciones lo hacen; el parche de Baton Drop exige ese paso manual de revocación.
- En máquinas con doble arranque o laboratorios caseros, revisar las Machine Owner Keys inscritas con mokutil y eliminar cualquier entrada que no hayas creado.
- Tratar un producto de seguridad que deja de arrancar en silencio como un incidente, no como un fallo: el trabajo de este controlador es cegar las herramientas de seguridad.
- Si una máquina es verdaderamente sospechosa, reparticionar el disco o reflashear el firmware en lugar de confiar en una reinstalación simple; la partición EFI del sistema es el punto de persistencia.