🛡 VULNERABILIDADES 🛡

BlackX Bootkit UEFI elude Secure Boot en sistemas Windows parcheados sin revocaciones

⏰24 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

BlackX Bootkit UEFI elude Secure Boot en sistemas Windows parcheados sin revocaciones

⟫ 23/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

Las organizaciones diplomáticas en Asia Central han sido el objetivo de un nuevo y sofisticado bootkit de Interfaz de Firmware Extensible Unificado (UEFI) denominado BlackX. Esta actividad, que se dirigió específicamente a entidades diplomáticas en Tayikistán, Uzbekistán y Turkmenistán a principios de 2026, se sospecha que ha sido orquestada por un grupo de hackers patrocinados por el estado chino conocido como APT41, según un informe técnico publicado esta semana por Kaspersky.

La implementación de este malware tiene como objetivo principal socavar las defensas de inicio de Microsoft Windows y las soluciones de seguridad de terceros, permitiendo al mismo tiempo un acceso encubierto y a largo plazo a los dispositivos comprometidos. BlackX se evalúa como una versión actualizada de BlackLotus, un bootkit infame que fue observado por primera vez en foros de cibercriminalidad a finales de 2022, antes de que su existencia fuera oficialmente confirmada por ESET en marzo de 2023.

BlackLotus fue diseñado para explotar una vulnerabilidad de bypass de Secure Boot ahora corregida, identificada como CVE-2022-21894 (con un puntaje CVSS de 4.4), también conocida como Baton Drop. Esta vulnerabilidad permite cargar código malicioso antes de que el sistema operativo inicie. Sin embargo, la explotación exitosa depende de que un atacante tenga privilegios de administrador o acceso físico al host objetivo. Microsoft, en su momento, destacó que el uso de este bootkit por parte de un actor de amenazas es principalmente un mecanismo de persistencia y evasión de defensa. No es un payload de primera etapa ni un vector de acceso inicial, y solo puede ser desplegado en un dispositivo al que un actor de amenazas ya haya accedido de manera privilegiada o física.

No obstante, abordar completamente la amenaza requiere acciones adicionales más allá de simplemente instalar la última actualización, incluyendo la ejecución de pasos manuales para aplicar las mitigaciones de revocación de Secure Boot de Microsoft, como añadir el certificado "Windows Production PCA 2011" a la lista de prohibidos de Secure Boot UEFI (DBX). La empresa de ciberseguridad rusa ha encontrado que los atacantes están capitalizando el hecho de que muchas organizaciones no han llevado a cabo estos pasos manuales, lo que les permite seguir utilizando la vulnerabilidad Baton Drop incluso en sistemas que tienen el "parche" aplicado.

El 19 de octubre de 2026, este certificado expiró, pero esto no impide que los binarios vulnerables se carguen a menos que el certificado esté en la lista negra, comentaron los investigadores Georgy Kucherin, Vladimir Nestor y Vasily Berdnikov. Es probable que el actor de amenazas detrás de esta campaña haya tenido en cuenta que pocas organizaciones se dieron cuenta de la importancia de activar manualmente el parche de Baton Drop. Por lo tanto, creemos que decidieron invertir tiempo en comprender cómo funciona BlackLotus y crear una copia de este bootkit.

Se ha observado que los atacantes despliegan BlackX tras haber vulnerado redes de las víctimas a través de un método no especificado y haber obtenido privilegios de administrador. Para instalar el bootkit, el actor de amenazas despliega los siguientes archivos: inst.exe, un ejecutable instalador, y PVMDIJGKAX2, un archivo encriptado sin extensión que contiene los archivos y cadenas necesarios para la instalación. El instalador se lanza luego a través de la línea de comandos como "C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1", donde "Q46F6MDLI3RX2KV1" es la clave RC4 usada para la desencriptación.

El binario luego despliega archivos adicionales en las particiones del sistema y UEFI para explotar CVE-2022-21894 de una manera "notablemente similar" a la utilizada en BlackLotus. El objetivo final sigue siendo el mismo: instalar Claves de Propietario de Máquina (MOK) para cargar archivos EFI arbitrarios en los hosts infectados e interferir con Secure Boot. Lo interesante es que el código fuente de BlackLotus nunca ha entrado en el dominio público, lo que sugiere que los actores de amenazas detrás de BlackX podrían haber revertido la ingeniería del bootkit original o haber adquirido su código fuente de otra parte.

"De cualquier manera, esta es una observación interesante, ya que rara vez vemos a los actores APT tomar ideas o código de actores de cibercriminalidad", señaló Kaspersky. El payload UEFI entregado tras la explotación de la vulnerabilidad está diseñado para inyectar un driver malicioso en el núcleo de Windows. Este driver ha sido firmado con un certificado perteneciente a una empresa llamada Wenjiang District Mingyu Network Technology Service Studio, que desde entonces ha sido revocado por el emisor.

Al igual que en el caso del ataque de "trae tu propio driver vulnerable" (BYOVD), el driver intenta alterar el funcionamiento del software de seguridad de endpoints instalado en la máquina. En un giro interesante, algunas de las modificaciones no autorizadas se permiten solo si los programas de seguridad asociados con Kaspersky o Avast están presentes. Sin embargo, el análisis de Kaspersky ha encontrado que estas rutinas son ineficaces.

No contento con intentar desactivar las soluciones de seguridad, el driver también despliega un payload en modo usuario para ciberespionaje. Se han observado dos payloads de este tipo: un troyano de acceso remoto que puede entregar payloads adicionales en .NET, utilizando Google Drive, OneDrive y Yandex.Disk para el comando y control (C2) y camuflándose así en los flujos de trabajo empresariales habituales. También está capacitado para recopilar información del sistema y cargar archivos de interés.

El segundo payload es un DLL malicioso denominado OxiDLLRunner que se carga de manera secundaria a través del binario legítimo "googleupdate.exe", que también es entregado por el bootkit. Este DLL desencripta y lanza un payload en Rust que se comunica con "archivetj[.]com" para recibir y ejecutar más plugins DLL.

Los vínculos de BlackX con APT41 se derivan de un informe de ESET en junio de 2026, que documentó el uso por parte de FishMonger de un backdoor de Windows llamado SprySOCKS en ataques dirigidos a entidades gubernamentales en Honduras, Taiwán, Tailandia y Pakistán entre 2023 y 2024. FishMonger, también rastreado como Aquatic Panda y Earth Lusca, se evalúa que opera bajo el paraguas de APT41. La empresa de ciberseguridad eslovaca también encontró "indicaciones limitadas" de que algunas versiones del backdoor podrían presentar un componente de bootkit UEFI que probablemente explota CVE‑2023‑24932, otra vulnerabilidad de bypass de características de seguridad vinculada a BlackLotus.

Un solapamiento interesante es la presencia de la cadena "xdd" en BlackX y el implante del núcleo utilizado por FishMonger, lo que aumenta la posibilidad de que el bootkit UEFI utilizado en esos ataques sea nada menos que BlackX. La segunda pista que apunta a hackers alineados con China es el uso de la carga secundaria de DLL para desplegar los payloads, un patrón que es extremadamente común entre los actores de amenazas de origen chino. "Al adaptar una herramienta comercial de cibercriminalidad, el grupo podría eludir los procedimientos destinados a proteger los procesos de inicio de Windows", concluyó Kucherin. "Este enfoque híbrido demuestra que los adversarios sofisticados no necesitan reinventar la rueda para establecer un control persistente e invisible sobre redes de alto valor".

La creciente sofisticación de amenazas como BlackX subraya la importancia de mantener una postura proactiva en ciberseguridad, especialmente para organizaciones y entidades que operan en entornos diplomáticos y gubernamentales. Las medidas de mitigación, como la implementación de parches de seguridad y la capacitación del personal en ciberseguridad, son fundamentales para defenderse contra estos ataques cada vez más complejos y furtivos.

◢ VULNERABILIDADES ◣

BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations

⟫ 23/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Diplomatic organizations in Central Asia have been targeted by a sophisticated new Unified Extensible Firmware Interface (UEFI) bootkit calledBlackX. The activity, which singled out diplomatic entities in Tajikistan, Uzbekistan, and Turkmenistan in early 2026, is suspected to be orchestrated by a China-linked state-sponsored hacking group known asAPT41, Kaspersky said in atechnical reportpublished this week. The primary objective behind deploying the malware is to undermine Microsoft Windows startup defenses, along with third-party security solutions, while maintaining long-term, covert access to compromised devices. Notably, BlackX is assessed to be an updated version ofBlackLotus, a notorious bootkit that was first observed being advertised on cybercrime forums in late 2022, before its existence was officially confirmed by ESET in March 2023. BlackLotusis designed to exploit a now-patched Secure Boot bypass vulnerability tracked asCVE-2022-21894(CVSS score: 4.4), also known as Baton Drop, to load malicious code before the operating system starts. However, successful exploitation hinges on an attacker having administrator privileges or physical access to a target host. "It is critical to note that a threat actor's use of this bootkit is primarily a persistence and defense evasion mechanism," Microsoftnotedat the time. "It is not a first-stage payload or an initial access vector and can only be deployed to a device to which a threat actor has already gained either privileged access or physical access." That said, completely addressing the threat requires additional actions beyond installing the latest update, includingrunning manual stepsto apply Microsoft's Secure Boot revocation mitigations, such asaddingthe "Windows Production PCA 2011" certificate to the Secure Boot UEFI Forbidden List (DBX). The Russian cybersecurity company has found that attackers are capitalizing on the fact that organizations have not carried out these manual steps, enabling them to still use the Baton Drop vulnerability even on systems that have the "patch" applied. "On October 19, 2026, this certificate expired, but this does not prevent the vulnerable binaries from loading unless the certificate is blocklisted," researchers Georgy Kucherin, Vladimir Nestor, and Vasily Berdnikov said. "It is likely that the threat actor behind this campaign took into account that few organizations realized the importance of manually activating the Baton Drop patch. As such, we believe they decided to invest time in understanding how BlackLotus works and creating a copycat of this bootkit." Attackers have been observed deploying BlackX after breaching victim networks through an unspecified method and gaining administrator privileges. To install the bootkit, the threat actor drops the following files - inst.exe, an installer executable PVMDIJGKAX2, an encrypted extensionless file containing files and strings required for the installation The installer is then launched via the command line as "C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1," where "Q46F6MDLI3RX2KV1" is the RC4 key used for decryption. The binary then drops additional files to both system and UEFI partitions to exploit CVE-2022-21894 in a manner that's "remarkably similar" to the one used in BlackLotus. The end goal remains the same: install Machine Owner Keys (MOK) to load arbitrary EFI files on the infected hosts and interfere with Secure Boot. What's interesting here is that the source code of BlackLotus has never entered the public domain, indicating that the threat actors behind BlackX either reverse-engineered the original bootkit or purchased its source code from another party. "Either way, this is an interesting observation, as we rarely see APT actors borrow ideas or code from cybercrime actors," Kaspersky said. The UEFI payload delivered following the exploitation of the vulnerability is engineered to inject a malicious driver into the Windows kernel. The driver has been signed with a certificate belonging to a company named Wenjiang District Mingyu Network Technology Service Studio. The certificate has since been revoked by the issuer. Like in the case of the bring your own vulnerable driver (BYOVD) attack, the driver attempts to tamper with the functioning of endpoint security software installed on the machine. In an interesting twist, some of the unauthorized modifications are allowed to run only if security programs associated with Kaspersky or Avast are present. However, Kaspersky's analysis has found these routines to be ineffective. Not just content with trying to render security solutions ineffective, the driver also drops a user-mode payload for cyber espionage. Two such payloads have been observed - A remote access trojan that can deliver additional .NET payloads, while using Google Drive, OneDrive, and Yandex.Disk for command-and-control (C2) to blend in with regular enterprise workflows. It's also equipped to harvest system information and upload files of interest. A malicious DLL dubbed OxiDLLRunner that's sideloaded by the legitimate "googleupdate.exe" binary, which is also delivered by the bootkit. The DLL decrypts and launches a Rust payload that communicates with "archivetj[.]com" to receive and execute more DLL plugins. BlackX's connections to APT41 stem from an ESET report in June 2026, which documented FishMonger's use of a Windows backdoor calledSprySOCKSin attacks targeting government entities in Honduras, Taiwan, Thailand, and Pakistan between 2023 and 2024. FishMonger, also tracked as Aquatic Panda and Earth Lusca, isassessedto be operating under the APT41 umbrella. The Slovakian cybersecurity company said it also found "limited indications" that some versions of the backdoor may feature a UEFI bootkit component likely exploitingCVE‑2023‑24932, another security feature bypass vulnerability linked to BlackLotus. An interesting overlap is the presence of the "xdd" string in BlackX and the kernel implant used by FishMonger, raising the possibility that the UEFI bootkit used in those attacks is none other than BlackX. The second clue that points to China-aligned hackers is the use of DLL sideloading to deploy the payloads – a pattern that'sextremely commonamong threat actors of Chinese origin. "By adapting a commercial crimeware tool, the group could bypass procedures intended to protect the Windows boot processes," Kucherin said. "This hybrid approach proves that sophisticated adversaries do not need to reinvent the wheel to establish persistent, invisible control over high-value networks."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD