El programa malicioso atacó organismos diplomáticos de Asia Central pese a que sus equipos estaban actualizados.
BlackX, un nuevo programa malicioso de tipo bootkit, se utilizó en una campaña de espionaje a principios de 2026. Sus objetivos fueron organismos diplomáticos de Asia Central, sobre todo de Tayikistán, Uzbekistán y Turkmenistán. La operación se ha relacionado con APT41, un grupo apoyado por el Estado chino, aunque los investigadores solo tienen una confianza media en esta atribución.
Un bootkit se carga durante el arranque del ordenador, antes de que el sistema funcione por completo. BlackX aprovechó Baton Drop, un fallo conocido desde 2022, para evitar Secure Boot. Esta protección debería impedir que se ejecuten componentes no autorizados al encender el equipo. El método se parece al de BlackLotus, otro programa malicioso anterior, pero las herramientas que BlackX usa después son diferentes.
Una vez instalado, BlackX introduce en Windows un controlador dañino. Puede detener procesos de seguridad, dificultar el registro de la actividad y actuar de manera especial si encuentra productos de Kaspersky o Avast. También oculta sus archivos de una forma curiosa: cuando el usuario intenta abrirlos, el sistema muestra la calculadora. Otras herramientas permiten controlar el equipo y transferir archivos mediante servicios en la nube.
Todas las víctimas analizadas tenían Windows completamente actualizado. Sin embargo, faltaba un paso manual: añadir a una lista de bloqueo el certificado utilizado por componentes UEFI vulnerables. La actualización no realizaba esta tarea por sí sola. Como no es habitual completar una actualización de forma manual, quedó abierta una oportunidad que los atacantes supieron aprovechar.
Basado en: Bill Toulas, BleepingComputer