BlackX : un bootkit UEFI exploite Baton Drop malgré les correctifs Windows

Le 24 octobre 2026, Bleeping Computer a rapporté l’analyse, par les chercheurs de Kaspersky, d’un nouveau bootkit UEFI baptisé BlackX. Déployé début 2026 contre des agences diplomatiques d’Asie centrale, notamment au Tadjikistan, en Ouzbékistan et au Turkménistan, il est attribué avec un niveau de confiance moyen à APT41, un groupe soutenu par l’État chinois également connu sous les noms de Brass Typhoon, Wicked Panda et Barium. Cette attribution, comme les éléments techniques qui suivent, repose sur une source unique : le rapport de Kaspersky, relayé par Bleeping Computer.

Une faille déjà exploitée par BlackLotus

BlackX exploite CVE-2022-21894, dite Baton Drop. La faille a déjà servi à BlackLotus, un bootkit qui circule sur des forums de pirates depuis octobre 2022. En mars 2023, ESET avait confirmé que BlackLotus l’exploitait et qu’il pouvait alors compromettre des systèmes Windows 11 entièrement à jour.

Selon Kaspersky, l’implémentation de l’exploit dans BlackX est très proche de celle de BlackLotus. Elle permet d’enrôler des Machine Owner Keys (MOK) choisies par l’attaquant et de charger des fichiers EFI arbitraires, ce qui revient à neutraliser Secure Boot. Les chercheurs écartent toutefois une simple reprise du code source de BlackLotus publié en juillet 2023 : cette fuite était incomplète, et certains échantillons de BlackLotus contiennent du code absent du dépôt public mais présent dans BlackX. L’attaquant aurait donc soit rétro-ingénieré BlackLotus, soit acheté son code source. BlackX s’en distingue par un pilote noyau et des charges utiles différents.

Un pilote conçu pour aveugler les défenses

Une fois Secure Boot contourné, BlackX injecte un pilote noyau Windows signé avec un certificat aujourd’hui révoqué, délivré à une organisation nommée Wenjiang District Mingyu Network Technology Service Studio. Ce pilote désactive des processus et des callbacks de registre liés à la sécurité, et altère des fournisseurs Event Tracing for Windows (ETW) pour entraver la surveillance. Certaines de ces manipulations ne s’exécutent que si un produit Kaspersky ou Avast est détecté sur la machine ; Kaspersky indique que le mécanisme reste sans effet contre ses solutions. Le pilote protège aussi les fichiers du bootkit : une tentative de les ouvrir lance la calculatrice Windows à la place.

Il sert enfin à déployer les outils d’espionnage. D’une part, un cheval de Troie d’accès à distance qui passe par Google Drive, OneDrive ou Yandex.Disk comme canal de commande, exécute des charges .NET et transfère des fichiers. D’autre part, OxiDLLRunner, une DLL obfusquée chargée par googleupdate.exe, qui lance un shellcode puis une charge écrite en Rust chargée de récupérer et d’exécuter des plugins.

Pourquoi un correctif installé ne suffit pas

D’après Kaspersky, toutes les victimes utilisaient une version de Windows entièrement à jour. Le correctif de Baton Drop doit révoquer le certificat « Windows Production PCA 2011 », qui a servi à signer les composants UEFI vulnérables. Or cette révocation ne se déclenche pas à l’installation de la mise à jour : l’administrateur doit l’activer lui-même.

Tant qu’elle n’est pas appliquée, Secure Boot continue d’accepter les composants signés avec ce certificat, y compris ceux qui contiennent la faille. La machine est donc corrigée sur le papier, mais la chaîne de confiance qui laisse passer le code vulnérable reste intacte. Kaspersky y voit une lacune du processus de mise à jour, puisqu’il est extrêmement rare qu’un administrateur intervienne manuellement après un correctif de sécurité. Selon les chercheurs, c’est précisément cet écart qui a convaincu l’attaquant d’investir du temps dans l’étude de BlackLotus pour en produire une copie.

L’expiration du certificat ne protège pas

Le certificat « Windows Production PCA 2011 » a expiré le 19 octobre 2026. Les chercheurs préviennent que cette expiration n’empêche pas les binaires vulnérables de se charger sur les systèmes Windows, sauf si les administrateurs ajoutent le certificat à une liste de blocage. Les instructions pour corriger complètement Baton Drop sont référencées dans l’article de Bleeping Computer. Sur un parc Windows, vérifier qu’elles ont été appliquées est la seule façon de savoir si le correctif installé protège réellement.

Sur les machines des victimes, la mise à jour était bien installée. Il manquait l’étape manuelle qui la rendait effective.