El bootkit BlackX UEFI elude el arranque seguro en sistemas Windows parcheados en los que faltan las revocaciones
Un nuevo bootkit UEFI llamado BlackX ha sido utilizado para enfocar sus ataques en organizaciones diplomáticas situadas en Asia Central. Los indicios apuntan a que estas acciones, detectadas a comienzos de un periodo específico, estarían bajo la orquestación de un grupo de piratería informática con vínculos estatales en China y identificado como APT41. El propósito principal de este software malicioso consiste en debilitar las defensas de inicio del sistema operativo Windows y las herramientas de seguridad externas, asegurando al mismo tiempo una presencia sigilosa y prolongada dentro de los equipos vulnerados.
Los investigadores señalan que este elemento malicioso funciona como una evolución de BlackLotus, empleando una vulnerabilidad que permite eludir el protocolo de inicio seguro mediante el aprovechamiento de un fallo previamente corregido. No obstante, los atacantes requieren de acceso físico o privilegios de administrador en el equipo receptor para poder ejecutarlo. El éxito de esta intrusión radica en que muchas entidades no han completado las tareas manuales necesarias para activar las mitigaciones de revocación, lo que permite el uso de la falla incluso en computadoras que supuestamente cuentan con el parche instalado.
Tras vulnerar las redes mediante métodos no especificados y obtener privilegios elevados, los operadores despliegan un instalador y archivos cifrados necesarios para ejecutar el proceso. El programa malicioso coloca componentes en las particiones del sistema y de la UEFI para interferir con el inicio seguro e instalar llaves que faciliten la carga de archivos arbitrarios. El código fuente original jamás estuvo disponible de forma pública, lo que sugiere que los responsables lograron aplicar ingeniería inversa al modelo anterior o adquirieron su código de manera externa, combinando así técnicas del cibercrimen con operaciones de actores estatales avanzados.