Varias organizaciones han sufrido brechas de seguridad a causa de un nuevo malware conocido como BlackX, un UEFI bootkit que logró eludir la función de "Arranque seguro" (Secure Boot) en sistemas Windows 11 a pesar de estar completamente actualizados. Este incidente plantea preguntas fundamentales sobre la estrategia de Microsoft en la gestión de actualizaciones de seguridad complejas.
¿Cuál es la naturaleza de la amenaza?
BlackX opera con el mismo método que el malware BlackLotus, aparecido en 2023, explotando una vulnerabilidad lógica en el gestor de arranque de Windows conocida como "Baton Drop" (registrada bajo el número CVE-2022-21894). La peligrosidad de estos programas radica en que se ejecutan en una etapa muy temprana del proceso de arranque del dispositivo, lo que les permite cargar controladores maliciosos en el núcleo del sistema operativo antes de que la mayoría de las defensas de seguridad comiencen a funcionar; además, se caracterizan por su persistencia y dificultad de detección.
¿Por qué fallaron las actualizaciones en la protección?
Aunque Microsoft lanzó actualizaciones para abordar esta vulnerabilidad desde 2022, la protección no fue completamente automática. Investigadores de la empresa Kaspersky explicaron que las actualizaciones lanzadas por Microsoft en 2023 y 2024 no revocaron automáticamente la confianza en los certificados digitales antiguos, por temor a causar que millones de dispositivos dejaran de arrancar.
En su lugar, Microsoft dejó la responsabilidad de tomar medidas manuales adicionales en manos de los administradores de sistemas para activar la protección completa, instrucciones que los investigadores describieron como "enterradas" en la documentación de soporte técnico y difíciles de notar o implementar para los administradores de TI comunes.
¿Qué significa esto para los usuarios?
Este incidente subraya la brecha entre la emisión de un parche de seguridad y su aplicación efectiva. Mientras que las organizaciones creen estar protegidas simplemente instalando las actualizaciones periódicas, la protección contra vulnerabilidades UEFI requiere medidas manuales adicionales que no se comunican con claridad. Los expertos consideran que los atacantes aprovecharon esta ambigüedad, sabiendo que pocas organizaciones ejecutan las medidas de protección manual requeridas, lo que convirtió la clonación de las técnicas de BlackLotus y el desarrollo de BlackX en una inversión exitosa para los atacantes.
Hasta ahora, Microsoft no ha emitido una advertencia explícita a los usuarios de que las actualizaciones actuales por sí solas no ofrecen una protección completa contra los ataques "Baton Drop", lo que deja a los administradores de sistemas en un estado de incertidumbre sobre cómo asegurar sus dispositivos de manera definitiva.