BlackX burla Secure Boot en Windows con parches: revisa este paso
Tener Windows al día no siempre basta. Kaspersky descubrió BlackX, un malware que se instala en el arranque de la computadora y logra saltarse Secure Boot incluso en equipos con todos los parches.
La razón es que la corrección de Microsoft incluye un paso que no se activa solo. Si administras equipos con Windows, conviene saber cuál es y cómo aplicarlo con cuidado.
¿Qué pasó?
El 22 de octubre de 2026 el equipo de investigación de Kaspersky publicó en Securelist su análisis de BlackX, un bootkit UEFI. Un bootkit es un malware que se mete en el proceso de arranque, antes de que cargue Windows, lo que lo hace muy difícil de detectar y de borrar. UEFI es el firmware que enciende la computadora y reemplazó al viejo BIOS.
Según Kaspersky, BlackX se usó a principios de 2026 contra organismos diplomáticos de Tayikistán, Uzbekistán y Turkmenistán. La empresa atribuye la campaña al grupo APT41 con confianza media. SecurityOnline confirmó los mismos datos.
Para burlar Secure Boot, la función que solo deja arrancar software firmado y de confianza, BlackX explota una falla conocida como Baton Drop (CVE-2022-21894). Con ella instala sus propias llaves y así puede cargar archivos de arranque no autorizados. Después mete un controlador en el sistema que interfiere con las soluciones de seguridad y esconde sus propios archivos.
Lo más importante: las víctimas tenían sus parches al día. El problema es que la corrección contra Baton Drop no revoca de forma automática el certificado «Windows Production PCA 2011», con el que están firmados los cargadores de arranque vulnerables. Ese certificado venció el 19 de octubre de 2026, pero vencer no lo bloquea: los archivos firmados con él siguen arrancando hasta que alguien lo revoca a mano.
¿Por qué te importa?
BlackX no es una puerta de entrada. Los atacantes primero tuvieron que conseguir permisos de administrador en la red de las víctimas. Pero una vez dentro, un bootkit sobrevive a reinstalaciones y burla al antivirus, así que limpiar el equipo se vuelve un trabajo mucho más difícil.
Microsoft explica en su guía KB5025885 que la revocación es parte de la protección, pero que todavía no se aplica sola. La fase en la que se activará de forma obligatoria aún no tiene fecha. Mientras tanto, depende de cada administrador.
Ojo: el cambio no tiene vuelta atrás. Una vez aplicado, ni formatear el disco lo quita, y las memorias de recuperación o instalación antiguas dejan de arrancar. Algunos equipos pueden pedir la clave de recuperación de BitLocker.
¿Qué puedes hacer?
- Instala las actualizaciones de seguridad más recientes de Windows en todos tus equipos; es el primer requisito.
- Respalda la clave de recuperación de BitLocker de cada computadora antes de tocar Secure Boot.
- Lee la guía KB5025885 de Microsoft y prueba la revocación en un solo equipo de cada modelo antes de hacerlo en todos.
- Rehaz tus memorias USB de instalación y recuperación con medios actualizados para que sigan arrancando después del cambio.
- Revisa la lista de problemas conocidos de la guía si usas máquinas virtuales de VMware, Boot Camp o cifrado de terceros.
Sigue leyendo
- El parche de octubre de Windows 11 puede bloquear Smart App Control
- Windows recibe más de 1,400 parches y uno corrige una falla ya usada
Fuentes
- Securelist (Kaspersky): New BlackX UEFI bootkit exploiting Baton Drop
- SecurityOnline: BlackX UEFI Bootkit APT41 Campaign Hits Central Asia
- Soporte de Microsoft: KB5025885: How to manage the Windows Boot Manager revocations for Secure Boot changes associated with CVE-2023-24932
Imagen de portada: foto de Valentine Tanasovich en Pexels.