BlackX : un bootkit UEFI contourne Secure Boot via Baton Drop

Kaspersky a publié une analyse du bootkit UEFI BlackX, employé lors d'une campagne d'espionnage menée début 2026 contre des agences diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan. Le code exploitait la vulnérabilité Baton Drop (CVE-2022-21894) pour contourner Secure Boot, selon bleepingcomputer.com.

L'analyse de Kaspersky indique que l'implémentation de l'exploit ressemble fortement à celle de BlackLotus. BlackX charge ensuite un pilote noyau Windows malveillant signé avec un certificat révoqué, émis au nom de Wenjiang District Mingyu Network Technology Service Studio.

Ce pilote désactive des processus liés à la sécurité et altère des fournisseurs ETW ; certaines de ces altérations ne se déclenchent que lorsque des produits Kaspersky ou Avast sont détectés. Il protège aussi les fichiers du bootkit en lançant la Calculatrice de Windows lorsque l'utilisateur tente de les ouvrir. Le déploiement s'appuie sur un RAT utilisant Google Drive, OneDrive ou Yandex.Disk pour le command-and-control, ainsi que sur un sideloader de DLL nommé OxiDLLRunner.

Toutes les victimes observées exécutaient une version de Windows entièrement corrigée, mais les administrateurs n'avaient pas activé manuellement les révocations supplémentaires de Secure Boot. Le certificat Windows Production PCA 2011 expire le 19 octobre 2026, mais les binaires vulnérables continuent de se charger tant qu'il n'est pas inscrit sur liste de blocage.

La campagne est attribuée avec une confiance moyenne à APT41, également connu sous les noms Brass Typhoon, Wicked Panda et Barium. BlackLotus, lui, circulait sur les forums de hackers depuis octobre 2022 ; ESET avait confirmé en mars 2023 qu'il exploitait Baton Drop pour compromettre des systèmes Windows 11 entièrement corrigés, et son code source a fuité en juillet 2023.