Un software espía infectó equipos con Windows que tenían todas las actualizaciones de seguridad instaladas

La empresa de seguridad Kaspersky halló en equipos con Windows un programa malicioso llamado BlackX que se instaló pese a que las máquinas tenían todas las actualizaciones al día. Según la investigación, la protección de Microsoft requiere un paso manual del administrador que pocos realizaron.

Según Kaspersky, el ataque se detectó a comienzos de 2026 contra organizaciones diplomáticas de Asia Central. La empresa de seguridad lo atribuyó, con confianza moderada, al grupo de hackers APT41 y presentó la investigación en la conferencia Security Analyst Summit 2026, en Bali, Indonesia.

BlackX es un bootkit: un programa malicioso que se ejecuta antes de que arranque Windows, cuando el sistema todavía no tiene activas muchas de sus defensas. Kaspersky lo describe como una versión modernizada de BlackLotus, un software que se vendía en la web oscura desde 2022.

Para instalarlo, los atacantes ya habían entrado en las redes internas de las víctimas y obtenido permisos de administrador. El bootkit funciona como un mecanismo de permanencia invisible y prolongada en los equipos.

Una falla de 2022 que sigue abierta

BlackX aprovecha “Baton Drop”, una falla del gestor de arranque de Windows registrada como CVE-2022-21894, que permite saltarse Secure Boot. Esta función verifica que, al encender la computadora, solo se ejecute software de confianza. Según el medio especializado Ars Technica, Microsoft corrigió la falla en 2022.

Sin embargo, la corrección no bastaba: el sistema seguía confiando en el certificado digital con el que se firmaron los gestores de arranque antiguos y vulnerables. En mayo de 2023, Microsoft inició un proceso de varios años: agregó un certificado nuevo y, en 2024, ofreció una forma de revocar el anterior, llamado “Windows Production PCA 2011”.

Pero la revocación no ocurre al instalar el parche. Kaspersky explicó que el administrador debe activarla de forma manual y que Microsoft diseñó el proceso de esa manera. Ars Technica añadió que revocar el certificado antes de instalar el nuevo puede dejar un equipo sin poder arrancar.

“Es extremadamente inusual que un administrador de sistemas tome medidas adicionales después de instalar una actualización”, escribió un investigador de Kaspersky. Según el informe, las instrucciones para activar la protección están “enterradas” en el sitio de Microsoft y resultan difíciles de advertir.

La respuesta de Microsoft y los límites del caso

Un portavoz de Microsoft respondió por correo a Ars Technica que la empresa recomienda seguir la guía de un artículo de su base de conocimiento, publicado dos semanas antes. Según el medio, ese texto no advierte que los parches publicados hasta ahora no protegen contra los ataques con Baton Drop.

El paso manual está descrito en otro artículo de 2023. Ars Technica señaló que no está clara la situación de los usuarios domésticos de Windows. Kaspersky indicó que todas las víctimas de BlackX usaban una versión de Windows completamente actualizada.

El certificado PCA 2011 venció el 19 de octubre de 2026, pero eso no impide que se carguen los componentes vulnerables. Según Kaspersky, mientras los administradores no lo agreguen a la lista de firmas prohibidas, los equipos siguen confiando en él.

Kaspersky sostiene que es probable que los atacantes supieran que pocas organizaciones activaban manualmente el parche. Por eso, afirmó, decidieron invertir tiempo en entender BlackLotus y crear una copia. En el ataque investigado, Kaspersky bloqueó el intento de desactivar antivirus.

De haber funcionado, el siguiente paso habría sido instalar un programa espía que utiliza servicios legítimos en la nube, como Google Drive, OneDrive y Yandex Disk, para robar información y vigilar a las víctimas. Microsoft no ha informado una fecha para activar la revocación de forma automática.