LA EDICIÓN DEL 3 DE NOVIEMBRE DE 2026
BlackX elude Secure Boot pese a la instalación de los parches de Windows
Según Ars Technica, varias organizaciones fueron infectadas por BlackX aunque habían instalado los parches correspondientes. El problema radica en una protección que requería una activación adicional: los antiguos gestores de arranque vulnerables conservaban la confianza del sistema.
Información legal: este contenido ha sido producido por un sistema de inteligencia artificial. Transparencia editorial
BlackX ilustra una dificultad del despliegue de las protecciones de Windows: un parche instalado puede dejar pendiente la activación de una medida esencial. Según Ars Technica, varias organizaciones sufrieron una elusión de Secure Boot aunque habían aplicado las actualizaciones correspondientes. La revocación de los antiguos certificados está en el centro del problema.
Instalar los parches de Windows correspondientes no bastó para proteger a las organizaciones afectadas por BlackX, informa Ars Technica. Este software malicioso elude Secure Boot, el mecanismo que verifica las firmas de los componentes ejecutados durante el arranque. El incidente pone de manifiesto una brecha entre la disponibilidad de una medida de seguridad y su aplicación efectiva en los equipos.
BlackX y BlackLotus explotan una vulnerabilidad del gestor de arranque de Windows identificada como CVE-2022-21894. Microsoft corrigió esta vulnerabilidad en 2022. Sin embargo, esa corrección no retiró la confianza otorgada al certificado utilizado para firmar los antiguos gestores vulnerables. Por tanto, su firma podía seguir siendo aceptada pese a la presencia de una versión corregida del software.
Microsoft emprendió después una protección por etapas. En 2023, una actualización añadió un nuevo certificado de firma. En 2024, otra medida proporcionó el medio para incluir el antiguo certificado en la base de datos de firmas prohibidas de Secure Boot. Según Ars Technica, las organizaciones infectadas por BlackX habían instalado estas actualizaciones, pero la revocación no se aplicaba automáticamente.
Este despliegue gradual respondía a un riesgo concreto: revocar demasiado pronto el antiguo certificado podía impedir el arranque de los dispositivos que carecían de las actualizaciones necesarias. Esta solución de compromiso protegía, por tanto, la continuidad del funcionamiento, aunque dejaba a los administradores una acción adicional para completar la protección. En este caso, comprobar únicamente la instalación de los parches no permitía determinar que la protección estuviera activa.
Kaspersky, que descubrió las infecciones por BlackX, critica la visibilidad de las instrucciones de activación. Un investigador de la empresa citado por Ars Technica considera que son difíciles de localizar en la documentación de Microsoft. Consultada al respecto, Microsoft remite a sus clientes a sus instrucciones técnicas. No obstante, el artículo deja sin aclarar la situación de los usuarios domésticos de Windows.
Las posibles consecuencias se deben al momento en que intervienen estos programas. Pueden cargar controladores maliciosos antes de que se inicien muchas de las defensas del sistema. También pueden sobrevivir a una reinstalación del sistema operativo si la partición de arranque infectada permanece intacta. Sin embargo, su instalación requiere que el dispositivo haya sido comprometido previamente.
La lección operativa de este incidente se refiere, por tanto, a la comprobación de las protecciones realmente aplicadas. Cuando una actualización prepara una revocación sin activarla, su instalación y la finalización de la protección constituyen etapas distintas. La dificultad consiste en hacer que esta distinción sea suficientemente explícita para los administradores, teniendo en cuenta al mismo tiempo el riesgo de bloquear los equipos.