BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations

Investigadores de Kaspersky han identificado un nuevo 'bootkit' (un tipo de malware que se carga antes de que el sistema operativo inicie) llamado BlackX. Este código de ataque está diseñado para vulnerar el Secure Boot, una función de seguridad que asegura que solo el software confiable se ejecute al encender el equipo. Se sospecha que este ataque es orquestado por el grupo APT41, vinculado a intereses estatales de China, y ha sido visto afectando organizaciones diplomáticas en Asia Central.

BlackX es una versión evolucionada de un malware conocido como BlackLotus. El problema principal es que los atacantes están aprovechando que muchas empresas instalan los parches de seguridad de Microsoft, pero no realizan los pasos manuales necesarios para revocar los certificados antiguos. Esto permite que el malware siga utilizando la vulnerabilidad 'Baton Drop' (CVE-2022-21894) incluso en sistemas que supuestamente están actualizados.

Para que este ataque tenga éxito, el atacante primero debe haber logrado acceso de administrador o acceso físico al equipo. Una vez dentro, el malware instala controladores maliciosos en el núcleo del sistema (kernel) para evadir programas de seguridad como Kaspersky o Avast, y puede utilizar servicios como Google Drive o OneDrive para enviar información robada sin levantar sospechas.

Qué significa para una pyme colombiana y cucuteña: No basta con instalar las actualizaciones de Windows para estar protegido contra este tipo de ataques. Usted debe asegurarse de que su equipo técnico aplique manualmente las mitigaciones de revocación de Microsoft, específicamente añadiendo el certificado 'Windows Production PCA 2011' a la lista de prohibición (DBX) del Secure Boot. Si no realiza este paso manual, su sistema seguirá siendo vulnerable aunque aparezca como 'actualizado'.