La solución existe desde 2023. Casi nadie la activó.
Hace una semana escribimos sobre la caducidad del certificado Microsoft Windows Production PCA 2011 el 19 de octubre y mencionamos BlackLotus, el bootkit que se carga antes que Windows y, por tanto, antes de que nada pueda verlo. Kaspersky acaba de publicar el análisis de una copia de BlackLotus usada en ataques reales, y lo interesante no es el programa malicioso.
Se llama BlackX. El equipo GReAT de Kaspersky lo describió el 22 de octubre y BleepingComputer siguió el 24. Se usó a principios de 2026 contra sedes diplomáticas en Tayikistán, Uzbekistán y Turkmenistán, y se atribuye con confianza media a APT41. Explota CVE-2022-21894, el fallo apodado Baton Drop, para registrar su propia Machine Owner Key y cargar el archivo EFI que quiera saltándose Secure Boot. Después deja un controlador de kernel, firmado con un certificado emitido a una entidad llamada Wenjiang District Mingyu Network Technology Service Studio, que manipula en silencio los productos de Kaspersky y Avast si encuentra alguno instalado. El controlador también esconde los archivos del bootkit, y si intentas abrir uno te abre la calculadora de Windows.
Aquí viene la parte que importa a todos los demás. Esos equipos estaban parcheados. Microsoft corrigió Baton Drop en 2023, pero instalar la corrección no revoca los componentes de arranque vulnerables, porque esa revocación dejaría inservibles los sistemas con arranque dual. Alguien tiene que poner una clave en el registro y lanzar una tarea programada para terminar el trabajo, y en la práctica casi nadie lo hace. La protección se entregó. Se quedó apagada durante tres años.
Ningún PC doméstico interesa a un grupo de espionaje que trabaja sobre embajadas de Asia Central, así que esta noche no hay motivo de alarma. La costumbre que conviene llevarse es más modesta: "totalmente actualizado" y "totalmente protegido" no son la misma frase, y el estado de Secure Boot de tu equipo merece un vistazo ahora que el cambio de certificado ya ha pasado. La comprobación de seguridad de Tendvane lee ese mismo estado, junto con BitLocker, sin tener que rebuscar entre menús.