Lima, noviembre de 2026.- Mantener Windows actualizado no garantiza por sí solo la protección de un equipo frente a todas las amenazas informáticas. Una investigación de Kaspersky identificó el malware BlackX, capaz de evadir mecanismos de seguridad durante el arranque del sistema operativo y mantener un acceso oculto a los dispositivos comprometidos. El hallazgo advierte sobre riesgos que también deben considerar las organizaciones de América Latina.
El descubrimiento fue realizado por especialistas del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky, quienes detectaron la amenaza a principios de 2026 durante una campaña de ciberespionaje contra organizaciones diplomáticas de Asia Central. Aunque los ataques investigados se concentraron en esa región, la técnica utilizada podría representar un riesgo para empresas e instituciones de otros territorios.
Cómo funciona el malware BlackX en Windows
BlackX pertenece a la categoría de amenazas conocidas como bootkits, programas maliciosos diseñados para ejecutarse durante el proceso de arranque de una computadora, antes de que el sistema operativo termine de cargarse. Esta capacidad les permite interferir con las medidas de seguridad y dificultar su detección.
Según Kaspersky, BlackX es una versión modernizada de BlackLotus, un malware comercializado en la dark web desde 2022. Su funcionamiento aprovecha una vulnerabilidad denominada Baton Drop, que permite eludir Secure Boot, una función de Windows destinada a impedir la ejecución de programas no confiables durante el inicio del equipo.
Uno de los aspectos más relevantes del hallazgo es que esta vulnerabilidad puede seguir siendo explotable incluso en dispositivos que tienen instalado el parche de Microsoft. Esto sucede porque la actualización no completa automáticamente todas las medidas de protección: los administradores deben realizar configuraciones adicionales para reforzar la seguridad del arranque.
Por esa razón, instalar las actualizaciones disponibles no es suficiente si no se comprueba que los procedimientos complementarios también hayan sido aplicados correctamente.
Espionaje y métodos para ocultar los ataques
La investigación de Kaspersky encontró que los atacantes utilizaron BlackX después de comprometer las redes de sus víctimas y conseguir privilegios de administrador en equipos con Windows. Para dificultar la identificación de sus actividades, recurrieron a archivos cifrados y programas de instalación personalizados.
Una vez instalado, el malware intenta desactivar las soluciones de seguridad del dispositivo. Si consigue hacerlo, puede facilitar la ejecución de herramientas de espionaje que utilizan servicios legítimos de almacenamiento en la nube, como Google Drive, OneDrive y Yandex Disk, para extraer información confidencial y vigilar las actividades de las víctimas.
En el caso analizado, las soluciones de Kaspersky bloquearon el intento de desactivar su protección, impidiendo que el ataque tuviera éxito.
«La aparición de BlackX es notable porque rara vez vemos que los grupos de amenazas persistentes avanzadas (APT) reutilicen código o conceptos —en este caso, de BlackLotus— directamente del entorno clandestino del cibercrimen. Al adaptar una herramienta de malware comercial, el grupo pudo eludir los procedimientos diseñados para proteger los procesos de arranque de Windows. Este enfoque híbrido demuestra que los atacantes sofisticados no necesitan reinventar la rueda para establecer un control persistente e invisible sobre redes de alto valor», afirmó Georgy Kucherin, experto en seguridad de GReAT de Kaspersky.
Los investigadores atribuyeron la campaña, con un nivel de confianza moderado, al grupo de amenazas avanzadas APT41.
Recomendaciones para proteger los equipos empresariales
Ante este escenario, Kaspersky plantea cinco medidas para reducir la exposición de las organizaciones:
- Verificar las actualizaciones: comprobar que los parches de Windows y las configuraciones adicionales recomendadas por los fabricantes estén correctamente aplicados.
- Limitar los privilegios de administrador: restringir los permisos elevados al personal que realmente los necesita.
- Utilizar soluciones de seguridad avanzadas: implementar herramientas de prevención, detección y respuesta ante amenazas, como las incluidas en el portafolio Kaspersky Next.
- Monitorear los sistemas: revisar las alertas de seguridad e investigar comportamientos inusuales que puedan revelar actividades maliciosas.
- Evaluar los riesgos periódicamente: revisar las configuraciones de los dispositivos y establecer procedimientos de respuesta ante incidentes.
El caso de BlackX muestra que la seguridad informática no depende únicamente de instalar actualizaciones. También requiere revisar las configuraciones, controlar los accesos y mantener una vigilancia constante sobre los sistemas corporativos.