Entre las recomendaciones de seguridad siempre está la actualización constante del software para corregir fallos, pero recientemente descubrieron un ataque que es capaz de superar esas barreras en Windows.
El hallazgo, realizado por Kaspersky, se hizo a principios de 2026 (aunque los detalles se conocieron recientemente) durante una campaña de ciberespionaje contra organizaciones diplomáticas de Asia Central y fue denominado como BlackX.
BlackX pertenece a la categoría de los bootkits: programas maliciosos que se ejecutan durante el proceso de arranque del equipo, antes de que el sistema operativo cargue por completo. Esa particularidad le permite interferir con los mecanismos de seguridad desde un punto anterior a cualquier defensa convencional.
Según la empresa, se trata de una versión modernizada de BlackLotus, un malware que se comercializaba en la dark web desde 2022. Su método de ataque aprovecha una vulnerabilidad conocida como Baton Drop, que permite sortear Secure Boot, la función de Windows diseñada para impedir que se ejecute software no confiable durante el inicio del equipo.
Lo que vuelve crítico este descubrimiento es que la falla sigue siendo explotable incluso en dispositivos que ya tienen instalado el parche de Microsoft. Esto sucede porque la actualización no activa por sí sola la protección completa: requiere que los administradores de sistemas ejecuten manualmente pasos adicionales de configuración. Cuando esa tarea no se completa, el equipo permanece expuesto pese a figurar como actualizado.
Un bootkit es un tipo de malware que se instala en el proceso de arranque de la computadora, antes de que el sistema operativo esté en funcionamiento. Esto le permite desactivar defensas y permanecer oculto durante periodos prolongados, incluso en dispositivos con parches de seguridad al día.
Los atacantes no utilizan BlackX como puerta de entrada, sino como una herramienta secundaria de alta persistencia. Según detalla la empresa, el bootkit se despliega después de que los ciberdelincuentes ya comprometieron la red interna y obtuvieron privilegios de administrador en los equipos Windows de la víctima.
Para esconder su presencia frente a los equipos de respuesta ante incidentes, los atacantes distribuyen los componentes del malware mediante archivos cifrados y programas de instalación personalizados, pensados específicamente para evadir la detección.
Una vez que logra explotar la vulnerabilidad, BlackX intenta desactivar el software de seguridad instalado en el dispositivo. Si lo consigue, el paso siguiente es ejecutar herramientas de espionaje capaces de abusar de servicios legítimos en la nube como Google Drive, OneDrive y Yandex Disk para robar información confidencial y monitorear la actividad del usuario afectado.
En el caso investigado por la compañía, la protección de endpoints de Kaspersky bloqueó el intento de BlackX de desactivarla, lo que impidió que el ataque llegara a la etapa de espionaje.
Kaspersky recomienda a las organizaciones verificar que las actualizaciones de seguridad estén correctamente implementadas, ya que instalar el parche de Microsoft no es suficiente por sí solo. Es necesario comprobar que se hayan completado todos los pasos de configuración adicionales que corrigen de manera efectiva la vulnerabilidad Baton Drop.
También se aconseja limitar los privilegios de administrador únicamente al personal que los necesita, dado que los atacantes aprovechan esos accesos elevados para instalar el malware y desactivar los mecanismos de protección.
La compañía sugiere además implementar soluciones de seguridad capaces de supervisar la integridad del firmware y detectar comportamientos sospechosos antes de que un ataque se complete.
Monitorear de forma continua los sistemas corporativos e investigar actividades inusuales permite identificar posibles incidentes antes de que los atacantes logren comprometer información confidencial o afectar las operaciones de una organización.
