La instalación periódica de parches informáticos en computadoras corporativas no garantiza una barrera completa frente a ataques avanzados, según comprobó una investigación técnica de Kaspersky. Especialistas del Equipo Global de Investigación y Análisis (GReAT) de la compañía identificaron BlackX, un programa dañino catalogado como bootkit que evade las secuencias de inicio del sistema operativo Windows y preserva accesos ocultos en terminales actualizados.
El código malicioso fue detectado a comienzos de 2026 durante operaciones de ciberespionaje orientadas a sedes diplomáticas situadas en Asia Central. Si bien las acciones documentadas se concentraron en dicho territorio, la técnica representa un peligro directo para organizaciones de América Latina que procesan material sensible en entornos de red.
Tanto la detección temprana como el control de accesos resultan esenciales para frenar estas intrusiones. La estructura operativa de BlackX actúa antes de la carga de las defensas convencionales, lo que facilita la desactivación de barreras y la extracción encubierta de archivos confidenciales.
¿Cómo opera BlackX en computadoras con Windows?
El malware pertenece a la familia de los bootkits, diseñados para ejecutarse durante la secuencia previa de arranque del computador. Esta cualidad técnica le permite anular barreras de control, entorpecer los análisis forenses y mantener permanencia prolongada dentro del dispositivo afectado sin despertar alarmas inmediatas.
De acuerdo con los analistas de Kaspersky, BlackX constituye una adaptación modernizada de BlackLotus, herramienta comercializada en la dark web desde 2022. Su mecanismo explota la falla denominada Baton Drop para burlar Secure Boot, función creada por Microsoft para impedir la ejecución de módulos no autorizados al encender el equipo.
La vulnerabilidad persiste incluso tras instalar los parches emitidos por el fabricante. Esto sucede porque la protección completa exige configuraciones manuales complementarias por parte de los administradores de sistemas, pasos que no entran en vigor de forma automática con la actualización básica.
¿Qué métodos emplean los atacantes para el robo de datos?
Los operadores de la amenaza instalaron BlackX únicamente después de comprometer las redes internas y conseguir privilegios administrativos. Para camuflar sus operaciones, los intrusos recurrieron a instaladores personalizados y paquetes de datos cifrados.
Al tomar el control del equipo, el programa procura deshabilitar las defensas instaladas para conectar utilidades de sustracción de archivos. Estas aplicaciones emplean plataformas comerciales en la nube (tales como Google Drive, OneDrive y Yandex Disk) para transferir documentos reservados y espiar los movimientos de los usuarios. En los incidentes analizados, las herramientas analíticas de Kaspersky neutralizaron las órdenes de sabotaje e interrumpieron la ofensiva.
“La aparición de BlackX es notable porque rara vez vemos que los grupos de amenazas persistentes avanzadas (APT) reutilicen código o conceptos -en este caso, de BlackLotus- directamente del entorno clandestino del cibercrimen. Al adaptar una herramienta de malware comercial, el grupo pudo eludir los procedimientos diseñados para proteger los procesos de arranque de Windows. Este enfoque híbrido demuestra que los atacantes sofisticados no necesitan reinventar la rueda para establecer un control persistente e invisible sobre redes de alto valor”, afirmó Georgy Kucherin, experto en seguridad del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky.
Las evidencias técnicas recopiladas vinculan estas incursiones, bajo un grado de certeza moderado, con el colectivo de ciberespionaje APT41.
¿Cuáles recomendaciones ayudan a mitigar esta amenaza digital?
Los especialistas aconsejan adoptar protocolos rigurosos de protección en las infraestructuras informáticas:
- Comprobar la aplicación integral de ajustes manuales posteriores a los parches de Windows.
- Limitar los privilegios de administrador a los colaboradores estrictamente autorizados.
- Integrar sistemas de resguardo integral con capacidades de respuesta como el portafolio Kaspersky Next.
- Supervisar permanentemente los registros de red para identificar patrones de tráfico anómalos.
- Realizar auditorías técnicas periódicas y fijar protocolos de contingencia ante incidentes.
