El bootkit BlackX explotó Baton Drop para eludir Secure Boot

Según BleepingComputer, que cita a investigadores de Kaspersky, un bootkit UEFI llamado BlackX explotó la vulnerabilidad Baton Drop para eludir las protecciones de Secure Boot durante una campaña de espionaje descubierta a principios de 2026. La campaña se dirigió contra organismos diplomáticos de Asia Central, especialmente en Tayikistán, Uzbekistán y Turkmenistán.

Los investigadores descubrieron que BlackX utiliza una implementación del exploit similar a la de BlackLotus, que también aprovechó Baton Drop (CVE-2022-21894). La técnica permite registrar Machine Owner Keys personalizados y cargar archivos EFI arbitrarios. BlackX emplea un controlador de núcleo y cargas posteriores diferentes. Kaspersky indicó que el bootkit podría derivar de la ingeniería inversa de BlackLotus o de su código fuente; los investigadores encontraron en BlackX código que no aparece en la filtración pública e incompleta del código de BlackLotus.

BlackX carga un controlador malicioso del núcleo de Windows firmado con un certificado ya revocado. El controlador puede desactivar procesos de seguridad, interferir con las devoluciones de llamada del registro y manipular proveedores de Event Tracing for Windows. Algunos procedimientos están configurados para ejecutarse si detectan productos de Kaspersky o Avast. El controlador también protege los archivos del bootkit: intercepta los intentos de abrirlos y, en su lugar, inicia Windows Calculator.

Kaspersky afirmó que todas las víctimas identificadas utilizaban versiones de Windows completamente actualizadas. Aun así, el bootkit funcionó porque los administradores no habían aplicado manualmente revocaciones adicionales de certificados de Secure Boot. Según los investigadores, instalar el parche de Baton Drop no activa esa revocación automáticamente. También advirtieron que el certificado “Windows Production PCA 2011” no impide cargar binarios vulnerables al caducar el 19 de octubre de 2026, salvo que los administradores lo añadan a una lista de bloqueo.