GEN-135 — Firmware UEFI: falla crítica que desbancan Secure Boot
Lo que aparenta ser una cuestión de parches de software esconde un problema más profundo: una firmware UEFI comprometida que se ejecuta antes del sistema operativo. La falla reportada por la ThreatHunting Network (THN) permite a un atacante implantar código malicioso en servidores que se inician por la red, anulando Secure Boot. La vulnerabilidad CVE-2025-21897 lleva presente 16 años en EDK II, el código base con el que la mayoría de fabricantes construye la firmware UEFI.
El ataque llega antes que cualquier control operativo
La firmware UEFI comprometida representa un cambio de paradigma en la superficie de ataque. Los controles clásicos —antimalware, EDR, IDS— operan sobre el sistema operativo. Este vector actúa bajo ellos: el código malicioso se ejecuta durante la fase inicial del arranque, con privilegios que el kernel todavía no ha construido. En consecuencia, un atacante logra control raíz sobre la infraestructura antes de que exista telemetría que lo detecte.
El alcance es amplio porque EDK II es el código fuente que utilizan la mayoría de los fabricantes de servidores y equipos de borde. La falla es específica del flujo de arranque por red (PXE, UEFI network boot), un mecanismo habitual en datacenters, gobierno y operadores de red. Si una organización opera flotas de servidores con arranque por red, su exposición no depende del fabricante individual: es inherente al código compartido.
Contexto: el terreno de los actores de amenaza
A nivel global, los ransomware operan con cadencia sostenida sobre infraestructura crítica. El monitoreo de foros underground revela una presión constante: Qilin Ransomware registra 47 víctimas en México, 12 en los últimos 90 días, con sectores que incluyen energía, salud, manufactura, financiero y sector público. LockBit 3.0 suma 32 víctimas en el país —con 0 recientes en 90 días— con TTPs documentados (T1486, T1490, T1489, T1083, T1059), y The Gentlemen alcanza 22 víctimas, 7 de ellas en 90 días. Ninguno de estos grupos ha sido atribuido específicamente a CVE-2025-21897; la correlación es de vector de acceso, no de atribución directa.
Esa presión contextual importa porque un implant firmware persistente es el punto de partida ideal para una campaña de ese tipo: supervivencia ante reinicios, evasión de herramientas que arrancan con el SO y control de la pila antes de que el ransomware se despliegue. En resumen, la firmware UEFI comprometida no es el robo, sino la puerta que deja abierta el atraco.
Puente de oro: el marco legal mexicano
La referencia de cumplimiento directa para el problema es el framework ISO 27001, que exige gestión de riesgos sobre la infraestructura completa, incluyendo firmware, no solo sobre el sistema operativo. Los perfiles CIS, en particular los de sistemas operativos y servidores, cubren la postura de Secure Boot pero no la cadena previa de arranque por red; por eso la firma de firmware debe incorporarse al inventario de activos y al ciclo de parches.
En el plano regulatorio, la iniciativa de Ley de Ciberseguridad MX 2025, presentada en el Senado y aún sin publicar en el DOF, contempla en su Art. 18 la designación de un enlace especializado en ciberseguridad y en su Art. 26 la notificación oportuna a la ANCS. De aprobarse, sería exigible a operadores de servicios esenciales y administradores de infraestructura crítica —precisamente el perfil de un datacenter gubernamental o de telecomunicaciones con arranque por red. El criterio regulatorio ya existe: en el sector no bancario, una CI Casa de Bolsa fue sancionada por omitir su sistema automatizado de recepción y canalización de órdenes, bajo la Ley del Mercado de Valores (LMV). El precedente muestra que la ausencia de un control automatizado constituye, para el supervisor, omisión sancionable.
Recomendaciones para el CISO
- Inventario de arranque por red. Identificar cada servidor y equipo de borde con PXE/UEFI network boot y mapear el fabricante y la versión de EDK II.
- Aplicar el parche oficial de UEFI. Priorizar la actualización de firmware en activos críticos; un activo sin parchar tras el aviso acumula exposición desde la fecha de revelación.
- Detectar arranques anómalos. Configurar alertas en el SOC para secuencias de arranque por red fuera de ventana o en hosts que no suelen PXE; la telemetría del arranque es la única señal pre-SO.
- Firmar y validar firmware. Incorporar la integridad de la imagen de arranque al control de cambios y al ciclo de patch management.
- Preparar el procedimiento de notificación. Definir el enlace de ciberseguridad y el flujograma de aviso ante un incidente de firmware, alineado a los controles ISO 27001 y a la postura que la iniciativa de Ley de Ciberseguridad MX 2025 proyecta.
Un SOC con detección sobre el ciclo de arranque es la capa que hace visible lo que ocurre bajo el sistema operativo. La gobernanza de riesgos debe extender el alcance del inventario a la firmware.
Mas sobre firmware UEFI comprometida
Para profundizar en la firmware UEFI comprometida y sus controles, consulta:
- The Hacker News — informe original sobre la falla en EDK II.
- CISA KEV — catálogo de vulnerabilidades con explotación activa para priorización.
- Blog de Tenable — análisis técnico del vector de arranque por red.
G.E.N.N.I.E. — Centro de Inteligencia Simbiótica
Una falla de 16 años en EDK II permite ejecutar código antes de Secure Boot en servidores con arranque por red.
Luna Varela de la Vega — ZDU-INTEL-VARELA
Enlace de Inteligencia Estratégica. Jefa de Relaciones Públicas del ZDU. Autora editorial.
La puerta que abre el arranque por red
Control antes del sistema: lo que la firma no alcanza a cubrir
Correlacion de senales
La correlación de señales muestra un vector que opera bajo todos los controles habituales. La inteligencia de superficie indica que CVE-2025-21897 se ejecuta antes de la carga del sistema operativo, desbancando Secure Boot en servidores con arranque por red. Los frameworks NIST CSF 2.0 e ISO 27001 identifican a la infraestructura —incluida la firmware— como parte del alcance de gestión de riesgos. Sin embargo, sus controles típicos asumen que la detección arranca con el SO. En consecuencia, un implant persistente en UEFI queda fuera de la telemetría estándar. Por lo tanto, el inventario de activos debe extenderse a la firma de arranque, y el ciclo de parches debe cubrir el firmware, no solo el software.
Underground intel
El monitoreo de foros underground revela una presión sostenida de ransomware sobre infraestructura. Qilin Ransomware acumula 47 víctimas en México, con 12 en los últimos 90 días y presencia en energía, salud, manufactura y sector público. LockBit 3.0 suma 32 víctimas y documenta TTPs de destrucción y ejecución (T1486, T1490, T1489, T1083, T1059). The Gentlemen registra 22 víctimas, 7 recientes. La inteligencia dark web no atribuye a ninguno de estos grupos la explotación de CVE-2025-21897; la correlación es de acceso, no de autoría. No obstante, un implant firmware es el punto de partida que maximiza la supervivencia de cualquiera de estas campañas, dado que resiste reinicios y evasión de las herramientas que nacen con el sistema.
Mandato sectorial
La evaluación de cumplimiento sitúa a los operadores de servicios esenciales y a los administradores de infraestructura crítica en el punto de mira. La iniciativa de Ley de Ciberseguridad MX 2025, aún sin publicar en el DOF, contempla en su Art. 30 obligaciones diferenciadas por criticidad: evaluación continua y auditorías anuales para el nivel ALTA. De aprobarse, sería exigible. El precedente del supervisor ya existe: una CI Casa de Bolsa fue sancionada por omitir su sistema automatizado, bajo la Ley del Mercado de Valores (LMV). En suma, la ausencia de un control automatizado constituye omisión sancionable. Un datacenter gubernamental o de telecomunicaciones con arranque por red y sin firma validada encaja en ese criterio.
Inteligencia: modulos de superficie, dark web forensics, marco legal y compliance ZDU.
