BlackX UEFI Bootkit evita Secure Boot en sistemas Windows
Un nuevo bootkit UEFI llamado BlackX ha sido descubierto dirigiéndose a organizaciones diplomáticas en Asia Central. Evade las protecciones de Secure Boot en sistemas Windows completamente actualizados explotando la falta de revocación de certificados.
Resumen
- BlackX es un nuevo bootkit UEFI dirigido a entidades diplomáticas en Asia Central.
- Evade Secure Boot incluso en sistemas Windows actualizados.
- El ataque explota certificados no revocados para mantener persistencia.
- Se sospecha que el grupo APT41, vinculado a China, está detrás de la campaña.
- Las organizaciones deben auditar su firmware y almacenes de certificados de confianza de inmediato.
Investigadores de ciberseguridad han descubierto un nuevo y sofisticado bootkit UEFI, denominado BlackX, que logra evadir con éxito las protecciones de Secure Boot en sistemas Windows totalmente actualizados. El malware se dirigió específicamente a instituciones diplomáticas en Tayikistán, Uzbekistán y Turkmenistán a principios de 2026.
Este sigiloso bootkit aprovecha una brecha crítica en la seguridad del firmware: sistemas que no revocaron certificados comprometidos, permitiendo a los atacantes mantener persistencia de bajo nivel incluso tras reinicios y reinstalaciones del sistema operativo. Los investigadores de Kaspersky atribuyen esta campaña al grupo avanzado de amenazas persistente APT41, vinculado a China y conocido por sus operaciones de espionaje.
Detalles técnicos de la infección BlackX
- BlackX modifica el firmware UEFI para ejecutar código malicioso durante el arranque del sistema.
- Abusa de certificados no revocados para superar las comprobaciones de validación de Secure Boot.
- El bootkit consigue persistencia a nivel de kernel antes de cargar el sistema operativo.
- Las víctimas permanecen comprometidas incluso después de formatear sus discos duros.
- Las herramientas tradicionales de antivirus no pueden detectar la infección en tiempo de ejecución.
Recomendaciones defensivas
- Auditar todas las imágenes de firmware UEFI en busca de modificaciones no autorizadas.
- Garantizar que los certificados revocados sean eliminados correctamente de los almacenes de confianza.
- Desplegar herramientas de atestación basadas en hardware para verificar la integridad del arranque.
- Supervisar el tráfico de red en busca de conexiones salientes anómalas desde protocolos heredados.
- Implementar soluciones de detección y respuesta en endpoints con visibilidad sobre el firmware.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.