Comment BlackX exploite-t-il la faille Baton Drop pour contourner Secure Boot ?

Le bootkit BlackX utilise la vulnérabilité Baton Drop (CVE-2022-21894) pour exécuter du code non signé dès le démarrage, avant même que le système d’exploitation ne charge ses mécanismes de sécurité. Selon BleepingComputer, cette faille permet à BlackX d’installer des clés Machine Owner Keys (MOK) personnalisées, manipulant ainsi la chaîne de confiance Secure Boot. Le bootkit charge ensuite un pilote malveillant signé avec un certificat revoked (celui de 温江区明宇网络技术服务工作室), qui désactive les appels de sécurité liés aux produits Kaspersky et Avast.

Microsoft avait publié des correctifs dès 2023 pour revoker le certificat ‘Windows Production PCA 2011’, mais leur déploiement complet nécessite une activation manuelle par les administrateurs. Or, comme le souligne SecureList, cette étape critique a été négligée dans les environnements ciblés, laissant les systèmes exposés malgré leurs mises à jour. BlackX agit ainsi en pré-OS, ce qui le rend particulièrement résistant aux protocoles de réponse aux incidents (IR), comme l’explique l’équipe de Security Arsenal.

BlackX agit en pré-OS, ce qui le rend particulièrement résistant aux protocoles de réponse aux incidents traditionnels.

Quelles sont les cibles et les techniques d’évasion utilisées par BlackX ?

BlackX a été déployé dans une campagne d’espionnage ciblant des agences diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan dès le début 2026, selon BleepingComputer. L’attaque est attribuée avec un niveau de confiance moyen à APT41, un groupe actif depuis des années et connu sous les noms Brass Typhoon ou Wicked Panda. Une fois installé, BlackX désactive les mécanismes de détection des solutions Kaspersky et Avast en bloquant le chargement de leurs pilotes ou en corrompant leurs appels système.

Le bootkit utilise une technique de redirection : lorsqu’un processus tente d’accéder à ses fichiers, il est redirigé vers le calculateur Windows, une astuce pour échapper aux analyses. Par ailleurs, BlackX déploie un cheval de Troie à accès distant (RAT) qui communique via des services cloud comme Google Drive, OneDrive ou Yandex.Disk pour exécuter des charges utiles .NET, comme l’ont détaillé les chercheurs de Kaspersky. Ce RAT interprète des commandes basées sur des suffixes hexadécimaux (0X01 à 0X05) pour réaliser des actions spécifiques.

Pourquoi BlackX échappe-t-il aux correctifs Microsoft et aux solutions de sécurité ?

BlackX exploite une faille connue depuis 2022 (Baton Drop), mais son efficacité repose sur une lacune opérationnelle : Microsoft a conçu le correctif pour revoker le certificat vulnérable comme une mesure complémentaire, non automatique. Comme l’indique The420.in, les administrateurs doivent activer manuellement cette revocation via des listes de blocage UEFI (dbx). Or, dans les environnements ciblés, cette étape a été omise, permettant à BlackX de prospérer même sur des systèmes à jour.

De plus, BlackX cible spécifiquement les produits Kaspersky et Avast en désactivant leurs composants critiques, comme les appels de registre ou les mécanismes de traçage (ETW). Selon Security Arsenal, cette approche reflète une technique classique des groupes d’espionnage : neutraliser les solutions de détection et de réponse aux menaces (EDR) pour prolonger la présence malveillante. Le bootkit utilise aussi des techniques d’obfuscation avancées, comme OxiDLLRunner (un DLL malveillant sideloadé via googleupdate.exe) et des payloads en Rust, pour échapper aux analyses traditionnelles.

Ce que cela change ici : risques pour les organisations béninoises et ouest-africaines

Bien que BlackX ait ciblé des agences diplomatiques en Asie centrale, son modus operandi révèle des failles exploitables dans d’autres régions, y compris en Afrique de l’Ouest. Les organisations dépendantes de solutions comme Kaspersky ou Avast pourraient subir des attaques similaires si leurs systèmes présentent les mêmes lacunes : absence d’activation manuelle des revocations UEFI ou configurations Secure Boot non optimales. Par exemple, des administrations ou entreprises utilisant des postes de travail non gérés centralement pourraient voir leurs mécanismes de sécurité contournés par des bootkits comme BlackX.

De plus, l’utilisation de services cloud légitimes (Google Drive, OneDrive) pour le commandement et le contrôle (C2) montre que les attaquants misent sur des infrastructures déjà autorisées. Les organisations béninoises ou ouest-africaines utilisant ces plateformes pour des échanges professionnels devraient surveiller les activités suspectes, comme des fichiers aux suffixes hexadécimaux inhabituels. Enfin, la persistance pré-OS de BlackX souligne l’importance pour les DSI locales de vérifier régulièrement l’intégrité de leur partition EFI et d’appliquer les revocations UEFI recommandées par Microsoft, même après des mises à jour.