BlackX : un bootkit UEFI contourne Secure Boot sur des Windows pourtant à jour

BlackX, un bootkit UEFI décrit par Kaspersky et révélé le 24 octobre 2026 par BleepingComputer, contourne Secure Boot sur des systèmes Windows entièrement mis à jour en exploitant la faille Baton Drop (CVE-2022-21894), selon l'éditeur russe de sécurité.

Qu'est-ce que BlackX et qui le déploie ?

Découvert début 2026 lors d'une campagne d'espionnage, BlackX visait des agences diplomatiques d'Asie centrale, notamment au Tadjikistan, en Ouzbékistan et au Turkménistan. Kaspersky l'attribue à APT41, groupe lié à l'État chinois (aussi connu sous les noms Brass Typhoon, Wicked Panda ou Barium), avec une confiance seulement moyenne : il s'agit d'une évaluation, pas d'une preuve.

L'exploit utilisé est, d'après Kaspersky, « remarquablement similaire » à celui de BlackLotus, bootkit apparu sur des forums en octobre 2022 et dont ESET avait confirmé en mars 2023 qu'il utilisait Baton Drop. Le code source de BlackLotus avait fuité sur GitHub en juillet 2023, sous une forme incomplète. Or Kaspersky a retrouvé dans BlackX du code absent du dépôt public : son auteur a donc soit fait de la rétro-ingénierie, soit obtenu le code d'origine.

Comment BlackX contourne-t-il Secure Boot ?

Secure Boot est la protection du démarrage qui n'autorise que des composants signés. Baton Drop permet d'enregistrer des clés MOK (Machine Owner Keys) personnalisées et de charger des fichiers EFI arbitraires. BlackX s'en sert pour installer un pilote noyau malveillant, signé avec un certificat révoqué émis au nom de « Wenjiang District Mingyu Network Technology Service Studio ».

Ce pilote neutralise des processus de sécurité, des fonctions de rappel du registre et des fournisseurs ETW (Event Tracing for Windows), utilisés pour la surveillance. Certaines actions ne se déclenchent que si des produits Kaspersky ou Avast sont détectés ; Kaspersky précise que ce mécanisme est inefficace contre ses propres solutions. Pour protéger ses fichiers, le pilote lance la Calculatrice Windows quand on tente de les ouvrir.

Deux charges d'espionnage ont été observées : un cheval de Troie d'accès à distance qui passe par Google Drive, OneDrive ou Yandex.Disk comme canal de commande, et une DLL nommée OxiDLLRunner qui télécharge des modules complémentaires.

Pourquoi des Windows à jour sont-ils concernés ?

Toutes les victimes utilisaient une version de Windows à jour. Le correctif de Baton Drop repose sur la révocation du certificat « Windows Production PCA 2011 », qui a signé des composants de démarrage vulnérables. Cette révocation n'est pas appliquée automatiquement : un administrateur doit la déclencher. Kaspersky y voit une lacune du processus de mise à jour.

Ce certificat est arrivé à expiration le 19 octobre 2026, mais son expiration n'empêche pas le chargement des binaires vulnérables tant qu'ils ne figurent pas dans la liste de blocage (dbx). Pour le calendrier plus large de ces certificats, voir notre article sur les certificats Secure Boot de 2027.

Que faire concrètement ?

Microsoft a publié une procédure de révocation des gestionnaires de démarrage vulnérables (« Revoking vulnerable Windows boot managers »). Les administrateurs de parcs sensibles devraient l'appliquer après test, car une révocation mal préparée peut empêcher un poste de démarrer. Le grand public n'est pas la cible de cette campagne, mais la technique, elle, est désormais documentée.

Source

BleepingComputer, « BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot » ; The Hacker News, « BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations », d'après l'analyse de Kaspersky.