El programa malicioso atacó organismos diplomáticos de Asia Central pese a que sus equipos estaban actualizados.
BlackX, un bootkit UEFI detectado a comienzos de 2026, sirvió de apoyo a una campaña de espionaje contra organismos diplomáticos de Tayikistán, Uzbekistán y Turkmenistán. La actividad se atribuye con un grado medio de confianza a APT41, un grupo patrocinado por el Estado chino. Al ejecutarse antes de que Windows arranque por completo, el programa consigue una posición resistente dentro del sistema.
El programa explota Baton Drop, la vulnerabilidad CVE-2022-21894, para sortear Secure Boot y cargar archivos EFI no autorizados. Su funcionamiento reproduce claramente el de BlackLotus, aunque emplea otro controlador y distintas cargas posteriores. Varias coincidencias de código, ausentes en la filtración pública de BlackLotus, apuntan a que los creadores de BlackX pudieron estudiarlo mediante ingeniería inversa o conseguir un código fuente más completo.
Tras superar el arranque seguro, BlackX introduce un controlador malicioso firmado con un certificado ya revocado. Este interfiere en procesos y mecanismos de seguimiento de Windows para entorpecer la detección. Algunas rutinas se activan ante productos de Kaspersky o Avast. Además de ocultar sus ficheros, el programa utiliza herramientas de espionaje para ejecutar código y transferir datos mediante servicios legítimos en la nube.
Las víctimas utilizaban Windows plenamente actualizado. La mitigación exige revocar el certificado «Windows Production PCA 2011», pero esa medida no se aplica al instalar el parche: debe activarla el administrador. Como rara vez se espera una intervención adicional tras una actualización, la separación entre el parche y la revocación creó una brecha práctica que mantuvo explotable un fallo antiguo.
Basado en: Bill Toulas, BleepingComputer