Entidades diplomáticas de Asia Central han sido objeto de un bootkit UEFI de alta sofisticación bautizado como BlackX. La campaña, que golpeó a organizaciones diplomáticas de Tayikistán, Uzbekistán y Turkmenistán a comienzos de 2026, se atribuye con recelo a un grupo de hackers patrocinado por el Estado chino conocido como APT41, de acuerdo con un informe técnico difundido esta semana por Kaspersky.
El objetivo central del despliegue es minar las defensas de arranque de Microsoft Windows y las soluciones de seguridad de terceros, a la vez que se conserva un acceso sigiloso y prolongado a los equipos comprometidos. BlackX se considera una versión actualizada de BlackLotus, un bootkit célebre que se promocionó en foros de ciberdelincuencia a finales de 2022 y cuya existencia confirmó oficialmente ESET en marzo de 2023.
BlackLotus explota una vulnerabilidad de omisión de Secure Boot ya corregida, identificada como CVE-2022-21894 (puntuación CVSS de 4.4) y conocida como Baton Drop, para cargar código malicioso antes de que arranque el sistema operativo. Sin embargo, la explotación exitosa exige que el atacante cuente con privilegios de administrador o con acceso físico al equipo objetivo.
Es fundamental señalar que el uso de este bootkit por parte de un actor de amenazas constituye principalmente un mecanismo de persistencia y evasión de defensas. No es una carga útil de primera etapa ni un vector de acceso inicial y solo puede desplegarse en un dispositivo al que el atacante ya haya obtenido acceso privilegiado o físico.
Según Microsoft, neutralizar por completo la amenaza requiere medidas adicionales más allá de instalar la última actualización, como ejecutar pasos manuales para aplicar las mitigaciones de revocación de Secure Boot, entre ellas añadir el certificado «Windows Production PCA 2011» a la lista de prohibidos (DBX) de la UEFI de Secure Boot.
La firma rusa de ciberseguridad ha comprobado que los atacantes aprovechan que las organizaciones no han llevado a cabo estos pasos manuales, lo que les permite seguir usando la vulnerabilidad Baton Drop incluso en sistemas que tienen aplicado el «parche». El 19 de octubre de 2026 dicho certificado caducó, pero eso no impide la carga de binarios vulnerables a menos que el certificado esté incluido en la lista de bloqueo, señalaron los investigadores Georgy Kucherin, Vladimir Nestor y Vasily Berdnikov.
Es probable que el actor de amenazas detrás de esta campaña tuviera en cuenta que pocas organizaciones comprendieron la importancia de activar manualmente el parche de Baton Drop. Por ello, creemos que decidieron invertir tiempo en entender cómo funciona BlackLotus y crear una copia de este bootkit.
Los atacantes despliegan BlackX tras vulnerar las redes de las víctimas mediante un método no especificado y obtener privilegios de administrador. Para instalar el bootkit, el actor de amenazas deja caer los siguientes archivos:
- inst.exe, un ejecutable instalador
- PVMDIJGKAX2, un archivo cifrado sin extensión que contiene los archivos y cadenas necesarios para la instalación
Después, el instalador se ejecuta desde la línea de comandos como «C:ProgramDataIntelinst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1», donde «Q46F6MDLI3RX2KV1» es la clave RC4 empleada para el descifrado. El binario deposita archivos adicionales tanto en las particiones del sistema como en la UEFI para explotar CVE-2022-21894 de una forma «notablemente similar» a la usada en BlackLotus. El objetivo final sigue siendo el mismo: instalar claves de propietario de máquina (MOK) para cargar archivos EFI arbitrarios en los equipos infectados e interferir con Secure Boot.
Resulta llamativo que el código fuente de BlackLotus nunca haya sido de dominio público, lo que indica que los actores detrás de BlackX o bien hicieron ingeniería inversa del bootkit original o compraron su código fuente a un tercero. En cualquier caso, se trata de una observación interesante, ya que rara vez vemos a actores APT tomar prestadas ideas o código de ciberdelincuentes, según Kaspersky.
La carga útil UEFI entregada tras la explotación de la vulnerabilidad está diseñada para inyectar un controlador malicioso en el kernel de Windows. El controlador fue firmado con un certificado perteneciente a una empresa llamada Wenjiang District Mingyu Network Technology Service Studio, certificado que el emisor ya ha revocado.
Al igual que en los ataques de tipo bring your own vulnerable driver (BYOVD), el controlador intenta manipular el funcionamiento del software de seguridad de endpoint instalado en la máquina. Como detalle curioso, algunas de las modificaciones no autorizadas solo se ejecutan si están presentes programas de seguridad asociados a Kaspersky o Avast; sin embargo, el análisis de Kaspersky concluyó que estas rutinas resultan ineficaces.
Además de intentar inutilizar las soluciones de seguridad, el controlador también deposita una carga útil en modo usuario para el espionaje cibernético. Se han observado dos de estas cargas:
- Un troyano de acceso remoto capaz de entregar cargas adicionales de .NET, que utiliza Google Drive, OneDrive y Yandex.Disk para el mando y control (C2) con el fin de camuflarse entre los flujos de trabajo empresariales habituales. También está preparado para recopilar información del sistema y subir archivos de interés.
- Una DLL maliciosa denominada OxiDLLRunner que se carga de forma lateral a través del binario legítimo «googleupdate.exe», también entregado por el bootkit. La DLL descifra y lanza una carga en Rust que se comunica con «archivetj[.]com» para recibir y ejecutar más complementos DLL.
Los vínculos de BlackX con APT41 proceden de un informe de ESET de junio de 2026 que documentó el uso por parte de FishMonger de una puerta trasera de Windows llamada SprySOCKS en ataques contra entidades gubernamentales de Honduras, Taiwán, Tailandia y Pakistán entre 2023 y 2024. FishMonger, también rastreado como Aquatic Panda y Earth Lusca, se considera que opera dentro del paraguas de APT41.
La empresa eslovaca de ciberseguridad indicó además que halló «indicios limitados» de que algunas versiones de la puerta trasera podrían incluir un componente de bootkit UEFI que probablemente explote CVE-2023-24932, otra vulnerabilidad de omisión de funciones de seguridad vinculada a BlackLotus.
Una superposición interesante es la presencia de la cadena «xdd» en BlackX y en el implante de kernel usado por FishMonger, lo que plantea la posibilidad de que el bootkit UEFI empleado en esos ataques no sea otro que BlackX. La segunda pista que apunta a hackers alineados con China es el uso de la carga lateral de DLL para desplegar las cargas, un patrón extremadamente habitual entre los actores de amenazas de origen chino.
Al adaptar una herramienta comercial de ciberdelincuencia, el grupo pudo eludir los procedimientos destinados a proteger los procesos de arranque de Windows. Este enfoque híbrido demuestra que los adversarios sofisticados no necesitan reinventar la rueda para establecer un control persistente e invisible sobre redes de alto valor.
Deja una respuesta