Tener Windows al día y el arranque seguro activado parece suficiente para dormir tranquilo. BlackX demuestra que no siempre lo es. Este bootkit para UEFI lo ha documentado el equipo de investigación GReAT de Kaspersky, que publicó sus hallazgos a finales de octubre de 2026. Ha infectado equipos con todas las actualizaciones instaladas. La causa no es un fallo nuevo, sino uno de 2022 que sigue abierto porque el remedio completo nunca se activó solo. La duda que plantea Ars Technica es incómoda: ¿hasta qué punto la culpa es de Microsoft por no explicarlo con claridad?

Qué es un bootkit y por qué preocupa tanto

Cuando enciendes el ordenador, Windows no es lo primero que se ejecuta. Antes arranca el firmware UEFI, el sucesor moderno de la BIOS, y después el gestor de arranque, que es quien carga el sistema operativo. El arranque seguro (Secure Boot) funciona como un portero: solo deja pasar programas firmados con certificados de confianza guardados en el propio firmware.

Un bootkit intenta colarse justo en ese tramo. Si lo consigue, se ejecuta antes que Windows y antes que el antivirus, y desde ahí puede cargar componentes maliciosos en el núcleo del sistema. Desde allí resulta muy difícil detectarlo. Según la cobertura de The Hacker News, BlackX se ha usado en una campaña de espionaje contra organismos diplomáticos. Los atacantes lo instalaban cuando ya tenían acceso a la red y permisos de administrador.

Cómo burla el arranque seguro

BlackX aprovecha una vulnerabilidad conocida como Baton Drop (CVE-2022-21894). Microsoft la corrigió en enero de 2022 y en 2023 se hizo famosa porque la usaba BlackLotus, el primer bootkit visto en la práctica capaz de saltarse el arranque seguro. BlackX comparte buena parte de su diseño con aquel. Funciona más o menos así:

• El atacante, con permisos de administrador, coloca en la partición de arranque una versión antigua y vulnerable del gestor de arranque de Windows. Esa versión sigue firmada por Microsoft.
• Como la firma es válida, el firmware la acepta. El fallo de esa versión permite registrar una clave propia (una Machine Owner Key) y cargar archivos de arranque sin firmar.
• Con el portero ya burlado, el bootkit carga un controlador malicioso en el núcleo de Windows, y a partir de ahí los programas espía.

El problema es que actualizar el gestor de arranque no sirve si el firmware sigue confiando en las versiones viejas. Esas versiones están firmadas con el certificado «Windows Production PCA 2011». La defensa real es revocar ese certificado, es decir, añadirlo a la lista negra del firmware (la DBX) para que nada firmado con él vuelva a arrancar.

La letra pequeña: un parche que había que rematar a mano

Aquí entra la polémica. Microsoft diseñó la corrección por fases. Primero llegó un certificado nuevo, el «Windows UEFI CA 2023», junto con un gestor de arranque firmado con él. La revocación del certificado antiguo quedó para más adelante, y hasta hoy no se aplica sola: el administrador tiene que activarla con un ajuste del registro y una tarea programada. Según la cobertura del caso, Kaspersky asegura que todas las víctimas conocidas tenían Windows actualizado pero no habían dado ese último paso. El investigador de la compañía resumió la situación diciendo que las instrucciones están «buried deep on the Microsoft website» (enterradas en lo más hondo de la web de Microsoft).

Microsoft tiene sus motivos para ir con pies de plomo. Su propia guía (KB5025885) avisa de que la revocación no se puede deshacer con el arranque seguro activado. También advierte de que puede dejar inservibles discos de recuperación y medios de instalación antiguos, y de que ha dado problemas con ciertas máquinas virtuales y con algunos modelos de firmware. Una revocación automática y mal calculada podría dejar sin arrancar millones de equipos. La empresa recuerda, además, que este ataque no sirve para entrar en un equipo: el intruso necesita antes permisos de administrador o acceso físico.

Aun así, la aplicación obligatoria se ha ido aplazando: primero se anunció para 2024 y después para 2026. Mientras tanto, la mayoría de usuarios y muchos administradores daban por hecho que estar al día equivalía a estar protegidos.

Qué significa para ti

Para un usuario doméstico el riesgo directo es bajo. BlackX está pensado para ataques dirigidos, y el atacante necesita controlar ya el equipo. Lo sensato es mantener Windows actualizado y no lanzarse a tocar el firmware sin tener preparado un disco de recuperación y la clave de BitLocker a mano, si el equipo usa cifrado. En empresas e instituciones la recomendación cambia: hay que revisar si la revocación del certificado de 2011 está aplicada y probarla antes en equipos representativos. Que el panel diga «arranque seguro: activado» no garantiza que el equipo esté protegido.

Por qué importa

BlackX deja una lección que va más allá de Windows. Un parche solo protege cuando está aplicado de principio a fin, y en la seguridad del arranque el último paso suele ser el más delicado. Cuando corregir un fallo puede romper equipos, los fabricantes tienden a dejar ese paso en manos del usuario. Si además no lo explican con claridad, la protección se queda a medias. Revisar esa letra pequeña es ya una tarea obligada para cualquiera que gestione equipos.