El programa malicioso atacó organismos diplomáticos de Asia Central pese a que sus equipos estaban actualizados.
El bootkit BlackX se desplegó a principios de 2026 en una campaña de espionaje contra organismos diplomáticos de Tayikistán, Uzbekistán y Turkmenistán. La operación se atribuye con una confianza media a APT41, un grupo vinculado al Estado chino. El programa buscaba afianzarse en los equipos desde una fase muy temprana del arranque.
Para conseguirlo, BlackX explotó Baton Drop, la vulnerabilidad CVE-2022-21894, y eludió Secure Boot. Su técnica guarda una notable semejanza con la de BlackLotus, un bootkit que circula desde 2022: permite registrar claves propias y cargar archivos EFI no autorizados. Sin embargo, BlackX incorpora otro controlador del núcleo y distintas cargas maliciosas. Los expertos creen que sus creadores estudiaron BlackLotus a fondo o consiguieron su código fuente.
El controlador de BlackX llevaba una firma digital asociada a un certificado ya revocado. Una vez cargado, desactiva procesos y registros de seguridad para dificultar la supervisión. Parte de su actividad se adapta si detecta productos de Kaspersky o Avast. También oculta sus ficheros y despliega herramientas capaces de ejecutar código o transferir datos mediante servicios en la nube.
La infección funcionó incluso en sistemas Windows totalmente actualizados. El parche disponible no activa automáticamente la revocación del certificado «Windows Production PCA 2011», empleado para firmar componentes UEFI vulnerables. Los administradores deben completar ese bloqueo de forma manual, algo poco habitual tras instalar una actualización. Esta dificultad práctica permitió que una vulnerabilidad antigua siguiera siendo útil para los atacantes.
Basado en: Bill Toulas, BleepingComputer