Mantener los sistemas operativos actualizados es una de las principales recomendaciones de ciberseguridad para las empresas. Sin embargo, una nueva investigación de Kaspersky demuestra que instalar los parches de seguridad no siempre es suficiente para evitar un ciberataque. Expertos del Equipo Global de Investigación y Análisis (GReAT) de la compañía descubrieron BlackX, un malware capaz de eludir las protecciones de arranque de Windows y mantener acceso oculto a los dispositivos comprometidos, incluso cuando cuentan con actualizaciones de seguridad instaladas.
La amenaza fue identificada a principios de 2026 durante una campaña de ciberespionaje dirigida contra organizaciones diplomáticas de Asia Central. Aunque los ataques investigados se concentraron en esa región, el hallazgo evidencia una técnica que podría representar un riesgo para organizaciones de América Latina, especialmente aquellas que dependen de sistemas Windows para administrar información confidencial y operaciones críticas.
BlackX pertenece a una categoría de programas maliciosos conocidos como bootkits, diseñados para ejecutarse durante el proceso de arranque de un computador, antes de que el sistema operativo cargue por completo. Esta característica les permite interferir con mecanismos de seguridad, dificultar su detección y mantener una presencia prolongada en los dispositivos afectados.
Según los investigadores de Kaspersky, BlackX es una versión modernizada de BlackLotus, un malware comercializado en la dark web desde 2022. Su funcionamiento aprovecha una vulnerabilidad conocida como Baton Drop, que permite evadir Secure Boot, una función de Windows diseñada para impedir que programas no confiables se ejecuten durante el inicio del equipo.
Lo que hace especialmente relevante este descubrimiento es que la vulnerabilidad puede seguir siendo explotable incluso en dispositivos que tienen instalado el parche de Microsoft. Esto ocurre porque, para completar determinadas medidas de protección, los administradores deben ejecutar pasos adicionales de configuración que no se aplican automáticamente al instalar la actualización. Cuando estas acciones no se realizan, los equipos pueden permanecer expuestos.
Este escenario plantea un desafío para las organizaciones latinoamericanas, ya que demuestra que una infraestructura aparentemente actualizada no necesariamente está protegida frente a todas las técnicas de ataque. Por ello, además de instalar parches, resulta fundamental verificar que las medidas de seguridad hayan sido correctamente implementadas.
La investigación también reveló que los ciberdelincuentes utilizaron BlackX después de haber comprometido las redes de sus víctimas y obtenido privilegios de administrador en los equipos Windows. Para ocultar sus actividades, emplearon archivos cifrados y programas de instalación personalizados, diseñados para dificultar su identificación.
Una vez instalado, el malware intenta desactivar las soluciones de seguridad del dispositivo. Si logra hacerlo, puede facilitar la ejecución de herramientas de espionaje capaces de utilizar servicios legítimos en la nube, como Google Drive, OneDrive y Yandex Disk, para extraer información confidencial y monitorear las actividades de las víctimas. En el caso investigado, las soluciones de Kaspersky bloquearon el intento de desactivar su protección, impidiendo que el ataque tuviera éxito.
“La aparición de BlackX es notable porque rara vez vemos que los grupos de amenazas persistentes avanzadas (APT) reutilicen código o conceptos —en este caso, de BlackLotus— directamente del entorno clandestino del cibercrimen. Al adaptar una herramienta de malware comercial, el grupo pudo eludir los procedimientos diseñados para proteger los procesos de arranque de Windows. Este enfoque híbrido demuestra que los atacantes sofisticados no necesitan reinventar la rueda para establecer un control persistente e invisible sobre redes de alto valor”, afirmó Georgy Kucherin, experto en seguridad del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky.
Los investigadores atribuyen la campaña, con un nivel de confianza moderado, al grupo de amenazas avanzadas APT41.
Para reducir la exposición a este tipo de amenazas, los expertos de Kaspersky recomiendan a las organizaciones de América Latina:
- Verificar que las actualizaciones de seguridad estén correctamente implementadas: instalar los parches de Windows no siempre es suficiente. Es fundamental comprobar que se hayan completado todas las configuraciones adicionales recomendadas por los fabricantes para evitar que los sistemas permanezcan vulnerables.
- Limitar los privilegios de administrador: restringir los permisos elevados únicamente al personal que los necesita, ya que los ciberdelincuentes pueden aprovechar estos accesos para instalar programas maliciosos, desactivar mecanismos de protección y mantener el control de los dispositivos comprometidos.
- Implementar soluciones de seguridad avanzadas: contar con herramientas como las del portafolio Kaspersky Next, que integran tecnologías de prevención, detección y respuesta ante amenazas, adaptándose a las necesidades de protección de cada organización. Estas capacidades permiten identificar comportamientos sospechosos, investigar posibles incidentes y responder oportunamente para reducir el impacto de los ciberataques.
- Monitorear continuamente los sistemas corporativos: supervisar las alertas de seguridad e investigar actividades inusuales que puedan indicar la presencia de amenazas ocultas. Una vigilancia constante permite detectar posibles incidentes antes de que los atacantes comprometan información confidencial o afecten las operaciones de la empresa.
Fortalecer la estrategia de ciberseguridad empresarial: realizar evaluaciones periódicas de riesgos, revisar las configuraciones de los dispositivos y establecer procedimientos claros de respuesta ante incidentes. Esto ayuda a identificar debilidades y reducir las oportunidades que los ciberdelincuentes pueden aprovechar para infiltrarse en la organización.
