Skip to content
Hacker Posts

BlackX : un bootkit UEFI exploite Baton Drop contre des cibles diplomatiques

Kaspersky décrit BlackX, un bootkit UEFI qui contourne Secure Boot via Baton Drop (CVE-2022-21894) contre des cibles diplomatiques d'Asie centrale. Attribué à APT41 avec confiance moyenne.

Publié le 3 min de lecture
recherchebootkituefiapt41

L'équipe GReAT de Kaspersky a détaillé BlackX, un bootkit UEFI utilisé début 2026 contre des organisations diplomatiques en Asie centrale. Le rapport complet est sur Securelist ; UnderNews l'a répercuté. BlackX est décrit comme une version modernisée de BlackLotus, l'implant vendu sur des forums en 2022. Point clé pour les défenseurs : les machines touchées étaient à jour, mais le correctif Microsoft de la faille exploitée exige des étapes manuelles souvent oubliées.

La faille exploitée

BlackX exploite Baton Drop — CVE-2022-21894 — pour contourner Secure Boot. La vulnérabilité a été corrigée en 2023, mais selon Securelist l'exploit reste utilisable car la remédiation complète impose de révoquer manuellement le certificat « Windows Production PCA 2011 », et la phase d'application (Enforcement Phase) n'était pas déployée à la publication. La chaîne installe des clés MOK (Machine Owner Keys) personnalisées pour charger des fichiers EFI arbitraires, puis injecte un pilote malveillant dans le noyau Windows.

Fonctionnement

BlackX n'est pas le premier maillon : il est déployé après compromission du réseau et obtention de privilèges administrateur. Une fois en place :

  • le pilote noyau désactive les callbacks (processus, threads, registre) des produits de sécurité et altère les fournisseurs ETW ;
  • il protège ses propres fichiers en renvoyant un handle vers calc.exe quand ils sont ouverts ;
  • un RAT en mode utilisateur utilise Google Drive, OneDrive et Yandex.Disk comme C2 ;
  • OxiDLLRunner, une DLL obfusquée via OLLVM, est chargée par sideloading depuis un exécutable légitime et dialogue avec une charge en Rust.

IOC (publiés par Securelist)

Reproduits tels quels depuis le rapport Kaspersky :

Fichiers    : inst.exe ; PVMDIJGKAX2 ; googleupdate.exe (nom d'origine jcef_helper.exe) ; v8_context_snapshot.bin
Commande    : C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1   (dernier argument = clé RC4)
MD5         : AF8A983B9ADA07EAE1259BF2953ABD40   (googleupdate.exe)
C2          : www[.]archivetj[.]com
Certificat révoqué (n° de série) : 0bcdf5e0da32d68900b8b7638459d072

Le rapport ne publie pas de hash pour le pilote ni pour les autres charges.

Attribution

Kaspersky attribue l'activité à APT41 avec une confiance moyenne, sur la base d'un recoupement avec le reporting ESET sur FishMonger (identifiant « xdd »), du sideloading de DLL avec fichier chiffré — motif courant chez des acteurs sinophones — et de l'obfuscation OLLVM. À garder au conditionnel : aucune mise en examen ni sanction ne vient officialiser cette attribution.

Que faire

  1. Appliquez manuellement la remédiation Baton Drop : révoquez le certificat « Windows Production PCA 2011 » via les KB Microsoft. Le seul correctif binaire ne suffit pas.
  2. Déployez une surveillance d'intégrité du firmware (UEFI/Secure Boot) et alertez sur tout ajout de clé MOK non prévu.
  3. Restreignez les privilèges administrateur : BlackX arrive après compromission et élévation ; c'est le palier à casser.
  4. Chassez les IOC ci-dessus, en particulier le C2 archivetj[.]com et le certificat révoqué, et surveillez l'usage sortant de stockages cloud grand public comme canal C2.

Contexte

BlackX s'inscrit dans la lignée BlackLotus / CosmicStrand / MoonBounce : le bootkit UEFI n'est plus une démonstration de laboratoire mais un outil de persistance d'acteurs étatiques. Le fil rouge n'est pas la nouveauté de la faille — Baton Drop a trois ans — mais la dette de remédiation : un correctif qui dépend d'une révocation manuelle de certificat laisse une fenêtre d'exploitation ouverte des années durant, y compris sur des parcs à jour.

Articles liés