Le bootkit UEFI BlackX contourne Secure Boot sur des systèmes Windows patchés

Une campagne d’espionnage ciblant des organisations diplomatiques en Asie centrale a mis au jour BlackX, un bootkit UEFI sophistiqué qui exploite la vulnérabilité Baton Drop (CVE-2022-21894) pour contourner Secure Boot sur des systèmes Windows pourtant à jour. Selon Kaspersky, l’opération, active dès le début de l’année 2026, viserait des entités au Tadjikistan, en Ouzbékistan et au Turkménistan, et serait attribuée au groupe APT41 lié à la Chine.

Le mécanisme d’attaque repose sur une particularité du correctif de Microsoft pour CVE-2022-21894, une faille de contournement de Secure Boot notée CVSS 4.4. Le patch ne suffit pas à lui seul : il requiert une action manuelle pour ajouter le certificat « Windows Production PCA 2011 » à la liste de révocation UEFI (DBX). Or, de nombreuses organisations n’ont pas effectué cette étape. Le certificat a expiré le 19 octobre 2026, mais les binaires vulnérables continuent de charger tant qu’ils ne sont pas explicitement bloqués.

BlackX est considéré comme une version mise à jour de BlackLotus, un bootkit apparu sur les forums cybercriminels fin 2022 et confirmé par ESET en mars 2023. Le code source de BlackLotus n’ayant jamais été publié, les auteurs de BlackX ont soit rétro-ingénieré l’original, soit acheté son code source, une collaboration rare entre acteurs étatiques et cybercriminels. L’installation s’effectue via un exécutable inst.exe qui dépose des fichiers sur les partitions système et UEFI, exploite CVE-2022-21894 pour installer des clés MOK (Machine Owner Keys), puis charge un pilote malveillant signé avec un certificat révoqué appartenant à Wenjiang District Mingyu Network Technology Service Studio.

Ce pilote tente de désactiver les solutions de sécurité, avec une attention particulière pour Kaspersky et Avast, bien que Kaspersky juge ces routines inefficaces. En parallèle, un payload en mode utilisateur permet l’espionnage : un cheval de Troie à accès distant et un voleur d’identifiants. L’infection initiale n’est pas détaillée, mais les attaquants obtiennent d’abord des privilèges d’administrateur avant de déployer le bootkit pour assurer la persistance.

Cette affaire rappelle que Secure Boot ne constitue pas une barrière infranchissable quand les mécanismes de révocation ne sont pas activés. Les organisations doivent vérifier l’application des révocations DBX, surveiller l’intégrité des partitions UEFI et traiter toute compromission de privilèges d’administration comme un vecteur potentiel d’infection au niveau du firmware.

Sources : BleepingComputer, The Hacker News

Sources : BleepingComputer, The Hacker News