BlackX: El nuevo malware que evade las protecciones de arranque de Windows actualizado
Durante años, la regla de oro en la ciberseguridad corporativa y personal ha sido clara: mantener el sistema operativo actualizado para cerrar la puerta a los atacantes. Sin embargo, una reciente investigación del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky acaba de demostrar que instalar los parches de seguridad no siempre garantiza una protección total. Los expertos han identificado a BlackX, un sofisticado malware diseñado para eludir las defensas de inicio de Windows y mantener un acceso oculto en los dispositivos, incluso cuando estos cuentan con las últimas actualizaciones instaladas.
¿Qué es BlackX y cómo logra burlar a Windows?
BlackX pertenece a la familia de los bootkits, un tipo de código malicioso altamente sigiloso que se ejecuta durante el proceso de arranque del computador, justo antes de que el sistema operativo cargue por completo. Al operar en esta fase temprana, el malware puede interferir directamente con los mecanismos de defensa, volverse casi invisible para los antivirus tradicionales y asegurar su permanencia a largo plazo en el equipo.
Según el análisis técnico de Kaspersky, BlackX es una evolución modernizada de BlackLotus (un malware comercializado en la dark web desde 2022). Su eficacia radica en la explotación de una vulnerabilidad conocida como Baton Drop, la cual permite evadir Secure Boot, la barrera de Windows encargada de impedir que software no confiable se ejecute al encender el equipo.
Lo más alarmante del hallazgo es que la vulnerabilidad sigue siendo explotable en equipos que ya tienen instalado el parche oficial de Microsoft. Esto sucede porque la solución completa requiere que los administradores de TI ejecuten pasos de configuración manuales adicionales que no se aplican de forma automática con la actualización. Si estas configuraciones se omiten, la puerta queda abierta.
Un enfoque híbrido de ciberespionaje con impacto global
La amenaza fue detectada a principios de 2026 en una campaña de ciberespionaje dirigida contra entidades diplomáticas en Asia Central, y los investigadores la atribuyen —con un nivel de confianza moderado— al conocido grupo de amenazas persistentes avanzadas APT41.
El ataque sigue una cadena muy precisa:
- Acceso inicial: Los atacantes comprometen primero la red de la víctima y obtienen privilegios de administrador en los equipos Windows.
- Despliegue sigiloso: Utilizan archivos cifrados e instaladores personalizados para ocultar el rastro de BlackX.
- Sabotaje y extracción: Una vez activo, el malware intenta desactivar las soluciones de seguridad locales para desplegar herramientas de espionaje que exfiltran información confidencial a través de servicios legítimos en la nube, como Google Drive, OneDrive o Yandex Disk.
Como destacó Georgy Kucherin, experto en seguridad de GReAT en Kaspersky, resulta llamativo ver cómo un grupo APT reutiliza y adapta herramientas del cibercrimen comercial (como BlackLotus) para lograr un control persistente sin tener que desarrollar código desde cero. Aunque los primeros incidentes se registraron en Asia, esta técnica representa una advertencia directa para las organizaciones en América Latina que gestionan infraestructuras críticas sobre Windows.
5 medidas clave para proteger tu infraestructura empresarial
Para evitar que una red aparentemente actualizada caiga víctima de bootkits como BlackX, los especialistas de Kaspersky recomiendan a los equipos de TI adoptar las siguientes prácticas:
- Verificar la implementación completa de los parches: No basta con descargar la actualización de Windows; es indispensable auditar que se hayan ejecutado todas las configuraciones manuales posteriores recomendadas por el fabricante.
- Restringir los privilegios de administrador: Limitar los accesos elevados estrictamente al personal indispensable dificulta que los atacantes puedan instalar bootkits o desactivar defensas tras una intrusión inicial.
- Adoptar soluciones de seguridad avanzadas: Implementar plataformas integrales de prevención, detección y respuesta (como el portafolio Kaspersky Next) que puedan bloquear intentos de manipulación de las propias herramientas de defensa.
- Mantener un monitoreo continuo: Supervisar de forma constante las alertas de red y el tráfico hacia servicios en la nube para detectar anomalías antes de que se produzca una fuga de datos.
- Auditar y fortalecer la estrategia de seguridad: Realizar evaluaciones periódicas de configuración y contar con protocolos claros de respuesta ante incidentes para cerrar brechas operativas.
La aparición de BlackX deja una lección clara para el ecosistema tecnológico actual: la gestión de parches debe ir acompañada de una configuración rigurosa y una defensa en profundidad.
