Le bootkit UEFI BlackX : comment le contournement Baton Drop atteint des systèmes Windows entièrement corrigés
Des chercheurs du Global Research and Analysis Team (GReAT) de Kaspersky ont publié les détails de BlackX, un bootkit UEFI qui s'installe sous le système d'exploitation de machines Windows entièrement corrigées. Les chercheurs relient l'implant à une campagne d'espionnage visant des organisations diplomatiques d'Asie centrale et l'attribuent à APT41 avec une confiance moyenne ; The Hacker News rapporte qu'il abuse du contournement de Secure Boot surnommé « Baton Drop » (CVE-2022-21894). Comme la correction de cette faille exige une étape manuelle que beaucoup d'administrateurs n'ont jamais effectuée, une vulnérabilité corrigée en 2022 redevient utile au niveau du firmware.
Ce qu'est BlackX
BlackX est un bootkit : au lieu d'attaquer Windows de l'intérieur, il manipule le processus de démarrage afin que son code s'exécute avant le chargement du système d'exploitation. Les chercheurs de Kaspersky le décrivent comme similaire à BlackLotus, le bootkit antérieur connu pour avoir exploité la même vulnérabilité, et The Hacker News le présente comme une version actualisée de cette lignée. La comparaison compte, car BlackLotus a démontré que les contournements de Secure Boot ne sont pas théoriques : dès qu'un bootkit fonctionnel existe, la protection que les utilisateurs croient activée peut être neutralisée en silence.Le contournement Baton Drop
CVE-2022-21894 permet à un attaquant disposant d'un accès administrateur à une machine – ou d'un bref accès physique – d'inscrire ses propres clés et de charger du code non signé au démarrage. Microsoft a livré un correctif en 2022, mais le correctif seul ne suffit pas : les gestionnaires de démarrage vulnérables doivent également être révoqués, et cette étape doit être appliquée manuellement. Les systèmes où elle a été omise restent exploitables même avec toutes les mises à jour de Windows installées, comme l'explique l'équipe de recherche en menaces d'Aviatrix dans son analyse de la campagne.« Le correctif de Microsoft pour CVE-2022-21894 ne révoque pas automatiquement le certificat vulnérable “Windows Production PCA 2011” – les administrateurs doivent déclencher manuellement la révocation Secure Boot après avoir appliqué le correctif. » – Chercheurs en menaces d'AviatrixUn détail connexe se lit aisément de travers. Le certificat « Windows Production PCA 2011 », qui rattachait les gestionnaires de démarrage vulnérables au magasin de confiance de Microsoft, a expiré le 19 octobre 2026. Les chercheurs précisent que cette expiration ne répare rien en soi : les binaires vulnérables continuent de se charger tant qu'ils n'ont pas été explicitement révoqués. C'est la révocation qui compte, pas le calendrier.
Une campagne d'espionnage sous l'OS
Selon Kaspersky, BlackX a été déployé début 2026 contre des organisations diplomatiques du Tadjikistan, d'Ouzbékistan et du Turkménistan. L'éditeur relie la campagne à APT41, un acteur étatique chinois, avec une confiance moyenne – une évaluation que rejoint Aviatrix, qui rappelle que le groupe est également suivi sous le nom de Brass Typhoon. Comme pour toute attribution sans condamnation, l'étiquette décrit la lecture des preuves par les chercheurs, non un fait établi. La chaîne commence de manière conventionnelle : les attaquants ont besoin d'un accès administrateur, après quoi ils inscrivent leur propre clé et placent le bootkit là où le firmware l'exécutera. De là, l'implant charge un pilote noyau signé avec un certificat qui a depuis été révoqué. Selon l'analyse de Kaspersky, le pilote supprime les rappels de processus, de threads et de registre du logiciel de sécurité et manipule l'event tracing, aveuglant efficacement les outils de sécurité sur les machines infectées.- Le bootkit persiste sous le système d'exploitation, dans une couche que la plupart des outils d'endpoint n'inspectent jamais.
- Un pilote noyau désactive les outils de sécurité en supprimant des rappels et en manipulant le traçage, laissant aux défenseurs une image incomplète.
- La charge finale est un trojan d'accès à distance dont le canal de commande se cache dans des services légitimes de stockage en ligne comme Google Drive, OneDrive et Yandex.Disk.
- Les chercheurs ont observé des composants loader livrés par DLL side-loading et obfusqués pour résister à l'analyse.
Ce qui survit à une réinstallation
La conséquence pratique pour les défenseurs et les opérateurs de home lab est inconfortable mais simple : réinstaller Windows ne supprime pas fiablement un bootkit. L'implant réside dans la partition système EFI, et une réinstallation ordinaire n'efface pas nécessairement cette partition ni ne restaure les binaires de démarrage qu'elle contient. Une machine peut démarrer sur un Windows flambant neuf et entièrement à jour tout en chargeant d'abord du code d'attaquant. Soyons clairs : de tels implants ne se propagent pas seuls – l'attaquant a d'abord besoin d'un accès administrateur ou physique – mais une fois en place, le réflexe « réinstaller » n'est pas la page blanche qu'on croit.Ce qui vaut vraiment la peine d'être vérifié
- Vérifier que Secure Boot est activé (msinfo32 affiche le Secure Boot State sous Windows).
- Appliquer les instructions de Microsoft pour révoquer les gestionnaires de démarrage vulnérables au lieu de supposer que les mises à jour s'en chargent ; le correctif Baton Drop exige cette étape manuelle de révocation.
- Sur les machines en double démarrage ou les home labs, examiner les Machine Owner Keys inscrites avec mokutil et supprimer toute entrée que vous n'avez pas créée.
- Traiter un produit de sécurité qui cesse silencieusement de démarrer comme un incident, pas comme un bug : c'est exactement le rôle de ce pilote.
- Si une machine est réellement suspecte, repartitionner le disque ou reflasher le firmware au lieu de se fier à une simple réinstallation ; la partition système EFI est le point de persistance.