Software espía infectó equipos diplomáticos de Asia Central a pesar de actualizaciones

Un programa malicioso llamado BlackX infectó equipos con Windows de organizaciones diplomáticas de Asia Central, a pesar de tener todas las actualizaciones de seguridad instaladas. Según la investigación de Kaspersky, el ataque se detectó a comienzos de 2026 y se atribuyó, con confianza moderada, al grupo de hackers APT41. BlackX es un bootkit, un tipo de software malicioso que se ejecuta antes de que arranque Windows, cuando el sistema aún no tiene activas muchas de sus defensas. Kaspersky lo describe como una versión modernizada de BlackLotus, un software que se vendía en la web oscura desde 2022.

El ataque se logró gracias a una falla del gestor de arranque de Windows, registrada como Secure Boot">CVE-2022-21894, que permite sortear la función Secure Boot. Esta función verifica que, al encender la computadora, solo se ejecute software de confianza. Según el medio especializado Ars Technica, Microsoft corrigió la falla en 2022. Sin embargo, la corrección no bastaba: el sistema seguía confiando en el certificado digital con el que se firmaron los gestores de arranque antiguos y vulnerables.

En mayo de 2023, Microsoft inició un proceso de varios años: agregó un certificado nuevo y, en 2024, ofreció una forma de revocar el anterior, llamado 'Windows Production PCA 2011'. Pero la revocación no ocurre al instalar el parche. Kaspersky explicó que el administrador debe activarla de forma manual y que Microsoft diseñó el proceso de esa manera. Según el informe, las instrucciones para activar la protección están 'enterradas' en el sitio de Microsoft y resultan difíciles de advertir.

El certificado PCA 2011 venció el 19 de octubre de 2026, pero eso no impide que se carguen los componentes vulnerables. Según Kaspersky, mientras los administradores no lo agreguen a la lista de firmas prohibidas, los equipos siguen confiando en él. Kaspersky sostiene que es probable que los atacantes supieran que pocas organizaciones activaban manualmente el parche. Por eso, afirmó, decidieron invertir tiempo en entender BlackLotus y crear una copia.

En el ataque investigado, Kaspersky bloqueó el intento de desactivar antivirus. De haber funcionado, el siguiente paso habría sido instalar un programa espía que utiliza servicios legítimos en la nube, como Google Drive, OneDrive y Yandex Disk, para robar información y vigilar a las víctimas. Microsoft no ha informado una fecha para activar la revocación de forma automática.