UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

BlackX bootkit exploits unrevoked Secure Boot binaries on Windows devices after attackers gain admin access to Central Asian diplomatic networks.

Kaspersky tarafından keşfedilen BlackX adlı yeni UEFI bootkit zararlısı, en son güvenlik güncellemeleri yapılmış Windows sistemlerinde dahi Secure Boot mekanizmasını devre dışı bırakmayı başardı.

Kaspersky GReAT experts discovered a new UEFI bootkit, BlackX. It exploits the Baton Drop vulnerability (CVE-2022-21894) and is similar to the BlackLotus bootkit.

Manter o Windows 11 com todas as correções em dia não impede a execução do bootkit BlackX (também conhecido como BlackLotus) através do Secure Boot. A instalação regular de patches corrige as falhas no sistema operativo, mas deixa por ativar de forma automática o bloqueio dos componentes de arranque

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

The BlackX UEFI bootkit exploited a Secure Boot flaw to infect patched Windows machines, targeting Central Asian diplomatic organizations in a suspected APT41 espionage campaign.

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

Kaspersky の報告で、UEFI ブートキット BlackX が、更新を当てきった Windows に感染していたことが分かった。CVE-2022-21894（Baton Drop）を使い、Windows Production PCA 2011 の失効（DBX）を有効にしていない PC が対象になる。

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

Instalas las actualizaciones, reinicias el equipo y Windows 11 te confirma que estás al día. Lo razonable es pensar que las correcciones de seguridad disponibles ya están haciendo su trabajo. Sin embargo, los ataques del famoso bootkit BlackX demuestran que puede quedar un paso decisivo pendiente y que no cubre la seguridad que dice tener La entrada Actualizar Windows no basta: BlackX burló Secure Boot por una protección que no se activa automáticamente y Microsoft se limita a remitir a una guía aparece primero en El Chapuzas Informático.

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

Infosec, Linux, homelab and accessibility: BlackX revoke still needed, LLM spend caps, 948 Linux root paths, a 1.3M Android TV botnet, YouTube AD tracks, and the question of whose 'we're good' you verified.

Curate Feeds | Make Collections | Customize Email Briefs

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

Curate Feeds | Make Collections | Customize Email Briefs

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

Kaspersky ha identificado un bootkit llamado **BlackX** capaz de infectar ordenadores con Windows que tenían todas las actualizaciones de seguridad instaladas. La firma detectó el ataque este año y lo atribuye, con confianza moderada, al grupo APT41. El malware se apoya en un fallo de 2022 que Microsoft corrigió solo a medias, porque la protección completa exige un paso manual que casi ningún administrador llega a activar. La investigación se presentó en la **Security Analyst Summit 2026** , y según la compañía, todas las víctimas de BlackX usaban una versión de Windows con las actualizaciones de seguridad instaladas, lo que demuestra que el parche publicado en 2022 no cierra por sí solo la puerta que explota este bootkit. Para instalarlo, los atacantes ya habían entrado antes en las redes internas de sus objetivos y habían logrado permisos de administrador: BlackX no es la vía de entrada, sino el mecanismo que les permite quedarse dentro del sistema de forma invisible y prolongada. ## Cómo logra BlackX esquivar Secure Boot BlackX es un bootkit: un programa que se ejecuta antes de que arranque Windows, en el instante en que buena parte de las defensas del sistema todavía no están activas. Kaspersky lo describe como una versión modernizada de **BlackLotus** , un software que circulaba en la web oscura desde 2022 y que ya entonces servía para sortear las protecciones de arranque de Windows. Al actuar en esa fase previa, el malware se instala sin levantar las alertas que normalmente detectarían un proceso malicioso en marcha. La pieza que hace posible el ataque es **Baton Drop** , una falla del gestor de arranque registrada como **CVE-2022-21894** que permite saltarse Secure Boot, la función que comprueba que, al encender el equipo, solo se ejecute software de confianza. Microsoft corrigió esta vulnerabilidad en 2022, pero la corrección por sí sola no bastaba: el sistema seguía confiando en el certificado digital con el que se habían firmado los gestores de arranque antiguos y vulnerables, y ese certificado siguió siendo válido durante años. ## La revocación del certificado exige un paso manual En mayo de 2023, Microsoft inició un proceso pensado para durar varios años: añadió un certificado nuevo y, ya en 2024, ofreció una vía para revocar el antiguo, conocido como **Windows Production PCA 2011**. El problema es que esa revocación no ocurre al instalar el parche. Según Kaspersky, el administrador tiene que activarla de forma manual, y Microsoft diseñó el proceso así a propósito: revocar el certificado antiguo antes de instalar el nuevo puede dejar un equipo sin poder arrancar, según ha explicado Ars Technica. «Es extremadamente inusual que un administrador de sistemas tome medidas adicionales después de instalar una actualización», escribió un investigador de Kaspersky en el informe. Según la compañía, las instrucciones para activar esta protección están enterradas en el sitio de Microsoft y resultan difíciles de advertir incluso para quienes gestionan la seguridad de una red. El certificado PCA 2011 venció finalmente el 19 de octubre de 2026, pero su caducidad no impide por sí sola que los equipos sigan cargando los componentes vulnerables: mientras no se añada a la lista de firmas prohibidas, Windows continúa confiando en él. El centro de seguridad ofrece un resumen visual sobre la protección y el rendimiento actual del equipo. Foto: Captura de SoftZone.es Kaspersky atribuye el ataque, con confianza moderada, al grupo de hackers APT41. Las víctimas identificadas pertenecen principalmente a empresas y la compañía cree probable que los atacantes supieran que pocas organizaciones activan el parche manual: por eso, según su hipótesis, invirtieron tiempo en estudiar BlackLotus y construir una copia adaptada a sus objetivos. De haber completado el ataque, el siguiente paso habría sido instalar un programa espía que se apoya en servicios legítimos en la nube, como **Google Drive** , **OneDrive** y **Yandex Disk** , para robar información y vigilar a las víctimas sin levantar sospechas. En el caso que investigó, Kaspersky bloqueó el intento de desactivar el antivirus antes de que esa fase pudiera completarse, lo que impidió que los atacantes llegaran a desplegar el software espía.

TL;DR: Microsoft’s recent executive fallout and the BlackX UEFI bootkit expose a systemic gap: clear internal policy enforcement is as critical as rob