El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Solicita una demo
Empieza gratis
InicioCiberseguridad 101
Bootkit

¿Qué es un bootkit?

¿Qué es un bootkit?

Escrito por: Lizzie Danielson

Publicado: 7/9/2025

mujer trabajando en una laptop
Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

Un bootkit es un tipo de malware diseñado para infectar el proceso de arranque de una computadora y obtener un control profundo y persistente antes de que el sistema operativo siquiera se inicie. Los bootkits son especialmente peligrosos porque pueden ocultarse de las herramientas de seguridad tradicionales y permanecer en un sistema incluso después de reinicios o reinstalaciones.

Sigue leyendo para descubrir exactamente qué es un bootkit, qué hace, cómo afecta a las organizaciones, pasos prácticos de prevención y estrategias de expertos para su eliminación.

¿Qué es un bootkit?

Un bootkit es una variante sigilosa de malware que infecta la parte de una computadora usada para iniciar (o "arrancar") el sistema operativo. A diferencia de la mayoría del malware, que infecta archivos dentro del propio sistema operativo, un bootkit ataca la fase más temprana del proceso de inicio de un sistema; por ejemplo, el Master Boot Record (MBR), el Volume Boot Record (VBR), o el firmware UEFI más reciente. Al atacar tan temprano, un bootkit puede ejecutar código antes de que cargue el software de seguridad, dándole al atacante privilegios de alto nivel y una persistencia casi indetectable.

Los bootkits forman parte de una categoría más amplia llamada rootkits. Piensa en los rootkits como herramientas que usan los atacantes para mantener un acceso privilegiado y encubierto a un sistema; un bootkit es un rootkit especializado en secuestrar el proceso de arranque.

Para los profesionales de seguridad, esto significa que un bootkit no es solo malware. Es la insignia de un adversario que busca el compromiso más profundo y persistente.

Propósito de un bootkit

El propósito principal de un bootkit es la persistencia y el sigilo. Esto es lo que ganan los atacantes:

  • Ejecución previa al sistema operativo: el código del bootkit se activa antes del sistema operativo, evitando muchas defensas.

  • Control profundo: secuestra los controles del sistema, instala puertas traseras o desactiva medidas de seguridad.

  • Evasión: permanece oculto de la mayoría de las herramientas de detección de endpoints, que solo escanean después del inicio del sistema operativo.

  • Facilitador: a menudo se usa como punto de entrada para más malware, robo de datos o incluso la toma total del sistema.

Para una organización, una infección por bootkit no es solo una alerta de malware; podría indicar una amenaza persistente avanzada, intentos de espionaje o un precursor de un compromiso mayor.

¿Cómo funcionan los bootkits?

  • Ataque a componentes del sistema de bajo nivel: los bootkits apuntan al MBR, VBR o particiones UEFI, que son necesarios para el inicio del sistema.

  • Modificación del código de arranque o del firmware: agregan código malicioso en estas áreas de inicio.

  • Activación en cada reinicio: como se lanzan antes del sistema operativo, los bootkits pueden cargar controladores maliciosos, manipular operaciones del kernel, ocultar su presencia o abrir puertas traseras antes de que se activen las protecciones habituales del sistema.

  • Sobrevivir a las reinstalaciones: dado que algunos bootkits viven fuera de las particiones típicas del disco duro (por ejemplo, en el firmware UEFI), los simples reinicios de sistema o reinstalaciones del sistema operativo podrían no eliminarlos.

Por eso las herramientas antivirus tradicionales pueden tener dificultades para detectarlos.

¿Cuál es el impacto de un bootkit?

Una infección por bootkit presenta riesgos extensos, entre ellos:

  • Robo de datos: robo de credenciales, archivos confidenciales y propiedad intelectual, a menudo sin ser detectado durante largos periodos.

  • Compromiso total del sistema: los atacantes pueden obtener acceso a nivel de administrador, alterar configuraciones del sistema y ejecutar malware adicional.

  • Inestabilidad del sistema: fallas aleatorias, pantallas azules, arranques fallidos del sistema operativo o cambios inexplicables en el sistema.

  • Persistencia a largo plazo: el bootkit puede sobrevivir muchos intentos de limpiar o reimagenar la computadora, a menos que se tomen pasos de eliminación especializados.

  • Ataques a la cadena de suministro: algunos bootkits han atacado actualizaciones de firmware o herramientas de proveedores, propagándose a través de fuentes confiables.

Para una empresa, la presencia de un bootkit podría significar problemas regulatorios, pérdida de datos, operaciones paralizadas y un proceso de respuesta a incidentes más largo (y costoso).

Cómo prevenir el malware bootkit

La prevención requiere un enfoque proactivo y en capas:

  • Habilita el arranque seguro: UEFI Secure Boot verifica las firmas de todo el software de arranque y solo ejecuta código confiable (conoce más en NIST).

  • Mantén actualizados el firmware y el sistema operativo: Aplica todas las actualizaciones de fuentes confiables, ya que muchos parches corrigen vulnerabilidades del proceso de arranque.

  • Usa protección de endpoints con análisis de firmware: Elige herramientas de seguridad que puedan analizar las áreas MBR, VBR y UEFI, no solo el sistema operativo.

  • Evita medios no confiables: No arranques desde unidades USB, CD o descargas desconocidas. Los atacantes suelen usar medios extraíbles para propagar bootkits.

  • Monitorea actividad sospechosa: Presta atención a fallos de arranque, errores del sistema o cambios en las secuencias de arranque. Las anomalías podrían ser señales tempranas de problemas.

  • Limita el acceso administrativo: Permite que solo el personal de confianza actualice o modifique la configuración de arranque, firmware o UEFI.

Crear una cultura de conciencia de seguridad es fundamental. Recuerda a los equipos que conectar y usar medios al azar es un punto de entrada clásico para malware avanzado.

Cómo eliminar el malware bootkit

Eliminar un bootkit es mucho más difícil que lidiar con el malware típico. Así es como lo hacen los expertos:

  • Aísla el sistema afectado: Desconecta el dispositivo de la red para evitar que se siga propagando.

  • Usa herramientas especializadas de reparación de arranque: Son esenciales las herramientas que pueden borrar y restaurar el MBR, VBR o UEFI. Muchos antivirus estándar no llegan a este nivel.

  • Reflasheo o actualización del firmware: Para infecciones basadas en UEFI, puede ser necesario actualizar o reflashear el firmware.

  • Reinstala con medios confiables: Realiza siempre una instalación limpia desde una fuente conocida y confiable. No confíes solo en las particiones de recuperación, ya que también podrían estar comprometidas.

  • Revisa el almacenamiento extraíble: Los bootkits pueden ocultarse en memorias USB y discos externos.

  • Vuelve a activar las protecciones: Después de la limpieza, asegúrate de que el arranque seguro y otras protecciones estén activadas.

Si eres parte de un equipo de TI empresarial, este es un caso en el que podrías necesitar ayuda externa de respuesta a incidentes (por ejemplo, de un socio de confianza o de la agencia cibernética de tu país).

Guía del ciclo de vida de un ataque bootkit

```

El usuario inserta un USB malicioso o arranca un dispositivo comprometido

↓

El bootkit infecta el MBR/VBR/UEFI antes de que cargue el sistema operativo

↓

El bootkit se oculta y desactiva las protecciones de seguridad

↓

El atacante gana persistencia y puede lanzar más malware

↓

La víctima experimenta inestabilidad o robo de datos, generalmente meses después de la infección

```

Ejemplo del mundo real

El bootkit LoJax, descubierto en 2018, apuntaba al firmware UEFI y se usó en campañas avanzadas de espionaje. LoJax lograba sobrevivir a los borrados del sistema y las reinstalaciones, y requería reflashear el firmware para eliminar por completo la infección (referencia de US-CERT sobre LoJax).

Puntos clave

Los bootkits son malware avanzado que infecta el proceso de inicio de un sistema para obtener acceso profundo y persistencia. El propósito de un bootkit es evadir la detección, tomar el control y permitir un mayor compromiso del sistema. Los bootkits pueden tener graves impactos tanto en individuos como en organizaciones, incluidos el robo de datos, la interrupción operativa y la exposición regulatoria. Para prevenir el malware bootkit, habilita el arranque seguro, mantén los sistemas actualizados, usa protección avanzada de endpoints, evita medios no confiables y monitorea actividad inusual. Eliminar bootkits requiere herramientas especializadas y a veces ayuda profesional. No confíes solo en un antivirus básico.

Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

Preguntas frecuentes sobre bootkit

Es malware que se oculta en el código de inicio de una computadora, lo que permite a los atacantes controlar los sistemas desde el momento en que se encienden.

Todos los bootkits son rootkit, pero no todos los rootkit son bootkits. Los bootkits apuntan específicamente al proceso de arranque, mientras que los rootkit pueden infectar cualquier parte de un sistema operativo.

Los antivirus estándar suelen pasar por alto los bootkits porque están activos antes de que cargue el sistema operativo. Se necesitan herramientas especializadas con análisis de arranque.

Los síntomas incluyen fallos frecuentes, pantallas azules, el sistema operativo que no arranca o configuraciones de seguridad que se revierten de forma inesperada.

Desconecta el dispositivo, informa a tu equipo de seguridad o TI, y usa soluciones de reparación de arranque o limpieza de firmware. No confíes solo en una reinstalación estándar.

Recursos adicionales

Más información sobre ¿Qué es la gestión de la postura de seguridad de las aplicaciones (ASPM)?
¿Qué es la gestión de la postura de seguridad de las aplicaciones (ASPM)?
Ciberseguridad 101

¿Qué es la gestión de la postura de seguridad de las aplicaciones (ASPM)?

Descubre cómo la ASPM da visibilidad de seguridad continua a lo largo del ciclo de vida del desarrollo de software, ayudando a las organizaciones a priorizar riesgos y agilizar la remediación.

Más información sobre ¿Qué es Google Dorking? Cómo los hackers usan los motores de búsqueda para el reconocimiento
¿Qué es Google Dorking? Cómo los hackers usan los motores de búsqueda para el reconocimiento
Ciberseguridad 101

¿Qué es Google Dorking? Cómo los hackers usan los motores de búsqueda para el reconocimiento

Aprende qué es Google Dorking, cómo los hackers usan operadores de búsqueda avanzados para encontrar información sensible, y los pasos para proteger tu negocio de este riesgo de ciberseguridad.

Más información sobre Qué es un LAN ID y su importancia en la ciberseguridad
Qué es un LAN ID y su importancia en la ciberseguridad
Ciberseguridad 101

Qué es un LAN ID y su importancia en la ciberseguridad

Descubre qué es un LAN ID, su propósito en la autenticación de red y cómo fortalece la ciberseguridad en redes locales.

Protege lo que importa

Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Probar Huntress gratis