27 de octubre, 2026
El Global Research and Analysis Team (GReAT) de Kaspersky ha descubierto un nuevo y sofisticado bootkit, BlackX, que permitió llevar a cabo ataques mediante la explotación de una deficiencia en una actualización de seguridad publicada por Microsoft. La investigación, que detalla cómo los ciberdelincuentes implantaron un malware que se ejecuta antes de que se inicie Windows, fue presentada en el Security Analyst Summit 2026, celebrado en Bali, Indonesia. Los expertos atribuyen la campaña con un nivel de confianza moderado al grupo APT41 e identifican BlackX como un sucesor modernizado del conocido bootkit BlackLotus.
A principios de 2026, las soluciones de seguridad de Kaspersky bloquearon con éxito un ataque APT dirigido contra organizaciones diplomáticas de Asia Central. La posterior investigación llevada a cabo por Kaspersky GReAT reveló que los atacantes utilizaron BlackX, un malware complejo y sigiloso diseñado específicamente para eludir las defensas de inicio del sistema operativo Windows, así como muchas soluciones de seguridad de terceros, y mantener un acceso invisible y prolongado a los dispositivos de las víctimas.
La investigación reveló que BlackX es una versión actualizada y modernizada de un implante denominado BlackLotus, que fue vendido en la Dark Web por ciberdelincuentes en 2022. Puede eludir la función Secure Boot, diseñada para garantizar que solo se ejecute software de confianza cuando se inicia un PC. Esto se consigue mediante la explotación de una vulnerabilidad conocida anteriormente como «Baton Drop». Aunque Microsoft publicó un parche para corregir esta vulnerabilidad, la actualización requiere que los administradores de sistemas completen manualmente determinados pasos de configuración para activar completamente la protección. Muchas organizaciones no han realizado estos pasos manuales y han permanecido vulnerables. Por ello, los ciberdelincuentes han podido utilizar la vulnerabilidad Baton Drop incluso en sistemas que tenían instalado el parche.
Los ciberdelincuentes desplegaron el bootkit BlackX como un malware secundario de alta persistencia después de haber comprometido las redes internas y obtenido privilegios administrativos en los equipos Windows de las víctimas. Para ocultar sus actividades a los equipos de respuesta ante incidentes, los ciberdelincuentes distribuyeron los componentes del bootkit en los dispositivos de las víctimas mediante archivos cifrados y programas de instalación personalizados diseñados específicamente para evadir la detección.
Tras explotar con éxito la vulnerabilidad, BlackX despliega un componente que desactiva el software de seguridad. Cabe destacar que la protección de endpoints de Kaspersky bloqueó el intento del malware de desactivarla y el ataque fracasó. Si hubieran conseguido desactivar la protección de seguridad, el siguiente paso de los ciberdelincuentes habría sido ejecutar un spyware que abusa de servicios legítimos en la nube, como Google Drive, OneDrive y Yandex Disk, para robar información confidencial y supervisar las actividades de las víctimas.
«La aparición de BlackX es especialmente relevante porque rara vez vemos que grupos APT tomen prestados directamente código o conceptos (en este caso, BlackLotus) del entorno del cibercrimen. Al adaptar una herramienta comercial de ciberdelincuencia, el grupo pudo eludir los procedimientos diseñados para proteger los procesos de arranque de Windows. Este enfoque híbrido demuestra que los ciberdelincuentes sofisticados no necesitan reinventar la rueda para establecer un control persistente e invisible sobre redes de alto valor», señala Georgy Kucherin, experto en seguridad de Kaspersky GReAT.
Para más información sobre el caso, se puede consultar el informe completo en el siguiente enlace.
Para protegerse frente a esta y otras amenazas similares, las organizaciones deben asegurarse de que sus departamentos de TI ejecuten manualmente los pasos recomendados por Microsoft para corregir Baton Drop y otras vulnerabilidades similares. Además, las organizaciones deben restringir los privilegios administrativos e implementar soluciones de seguridad capaces de supervisar la integridad del firmware. El componente Exploit Prevention de las soluciones endpoint de Kaspersky evita que se ejecuten exploits incluso cuando el parche no está aplicado o cuando se trata de una vulnerabilidad de día cero para la que todavía no existe un parche.
Global Research & Analysis Team
Fundado en 2008, el Global Research & Analysis Team (GReAT) trabaja en el corazón de Kaspersky para descubrir APT, campañas de ciberespionaje, grandes amenazas de malware, ransomware y tendencias del cibercrimen clandestino en todo el mundo. Actualmente, GReAT cuenta con más de 35 expertos que trabajan a escala global, en Europa, Rusia, Latinoamérica, Asia y Oriente Medio. Estos profesionales de la seguridad aportan a la compañía un profundo conocimiento en investigación e innovación contra el malware, además de experiencia, pasión y curiosidad para descubrir y analizar las ciberamenazas.
Kaspersky
Kaspersky es una compañía global de ciberseguridad y privacidad digital fundada en 1997. La compañía innova en el sector con un enfoque basado en la Ciberinmunidad y protege a consumidores, empresas, infraestructuras críticas y gobiernos frente a las ciberamenazas, con más de mil millones de dispositivos protegidos hasta la fecha. Kaspersky garantiza una ciberseguridad alineada con las necesidades del negocio (Cybersecurity True to Business), centrada en ofrecer resultados claros, proteger los ingresos, reducir la carga de trabajo y evitar interrupciones operativas. La profunda experiencia de Kaspersky en inteligencia de amenazas y seguridad se transforma constantemente en soluciones y servicios innovadores para organizaciones de todos los tamaños, desde pequeñas empresas hasta grandes corporaciones, combinando tecnologías de protección basadas en Inteligencia Artificial probadas con una gestión sencilla y soporte experto. Reconocida en pruebas independientes y respaldada por millones de usuarios particulares en todo el mundo y cerca de 200.000 organizaciones, Kaspersky ayuda a detectar las amenazas antes, responder más rápido y operar con mayor confianza y libertad, protegiendo lo que más importa a sus clientes. Más información en www.kaspersky.es
