APT41 déploie BlackX, un bootkit UEFI contournant Secure Boot

BlackX : le bootkit UEFI qui défie Secure Boot sur des systèmes Windows à jour

Les équipes de recherche du Global Research and Analysis Team (GReAT) de Kaspersky ont révélé en octobre 2026 une nouvelle campagne d'espionnage ciblant des entités diplomatiques d'Asie centrale. L'acteur à l'origine de cette opération est présumé être APT41, groupe chinois connu également sous les noms Earth Baku, Double Dragon ou Winnti, avec un niveau de confiance qualifié de "moyen" par les chercheurs.

L'outil central de la campagne est un bootkit UEFI baptisé BlackX. Un bootkit est un type de malware particulièrement sophistiqué qui s'installe dans le firmware UEFI de la machine, avant même le chargement du système d'exploitation. Cette position privilégiée lui confère une persistance quasi irréductible : le malware survit aux réinstallations de Windows, aux formatages de disque et même au remplacement du disque dur, tant que le firmware UEFI n'est pas nettoyé.

BlackX est décrit par les chercheurs comme une version évoluée de BlackLotus, le premier bootkit UEFI public capable de contourner Secure Boot apparu en 2023. Là où BlackLotus avait causé un émoi considérable dans la communauté sécurité, BlackX pousse les capacités plus loin encore, avec un mécanisme d'injection dans le noyau Windows plus robuste et des techniques d'anti-analyse additionnelles.

Le vecteur d'exploitation repose sur CVE-2022-21894, alias "Baton Drop". Cette vulnérabilité dans le processus de démarrage sécurisé Windows permet, sous certaines conditions, de charger un bootloader Windows révoqué par Microsoft. Malgré le fait que Microsoft ait publié les correctifs et révocations nécessaires en janvier 2022, de nombreuses organisations n'ont toujours pas appliqué les mises à jour de la base de données de révocation Secure Boot — une base de données distincte des mises à jour Windows classiques qui nécessite une manipulation spécifique du firmware.

Une fois l'accès administrateur obtenu sur la machine cible, condition préalable au déploiement du bootkit, APT41 installe BlackX dans la partition EFI du disque. Au redémarrage suivant, le bootkit s'exécute avant Windows et procède à l'injection d'un driver malveillant dans le noyau. Ce driver a pour mission principale de désactiver les solutions de sécurité endpoint (EDR, antivirus) avant leur chargement complet, neutralisant ainsi leur capacité de détection.

Après avoir aveuglé les défenses, BlackX déploie deux composants supplémentaires : un trojan d'accès à distance (RAT) pour le contrôle à distance de la machine, et une DLL malveillante impliquée dans la collecte de documents et d'identifiants diplomatiques selon les premières analyses.

Les cibles identifiées sont des entités gouvernementales au Tadjikistan, en Ouzbékistan et au Turkménistan. Ces trois pays d'Asie centrale partagent des frontières avec la Chine ou se trouvent dans sa sphère d'influence directe. Leurs relations diplomatiques, leurs positions sur les projets d'infrastructure de la Route de la Soie et leurs alignements géopolitiques variables en font des cibles de renseignement naturelles pour Pékin.

La date exacte de début de la campagne n'a pas été précisée par Kaspersky, les chercheurs indiquant que les premières infections remontent au début de l'année 2026. La divulgation publique en octobre 2026 suggère que la campagne est soit terminée, soit suffisamment documentée pour justifier une alerte publique destinée aux organisations potentiellement affectées.

Les bootkits UEFI : une menace qui redéfinit les capacités défensives

L'émergence de BlackX s'inscrit dans une tendance alarmante : la prolifération des bootkits UEFI parmi les groupes APT de premier rang. Longtemps réservés aux acteurs les plus sophistiqués — CosmicStrand, MosaicRegressor, ESPecter avaient déjà marqué les esprits — ces outils semblent désormais entrer dans le catalogue standard des groupes étatiques.

La difficulté fondamentale posée par les bootkits UEFI est celle de la détection. La plupart des solutions de sécurité opèrent au niveau du système d'exploitation, après le démarrage. Un bootkit qui se place en amont peut désactiver ces outils ou manipuler leur vision de l'état du système avant même qu'ils ne soient opérationnels. Seules des solutions basées sur l'attestation d'intégrité du firmware ou les fonctionnalités Secured-core PC sont véritablement efficaces contre cette classe de menaces.

Le fait que CVE-2022-21894, une vulnérabilité de 2022, soit encore exploitable en 2026 sur des systèmes présumément à jour illustre un problème structurel : la gestion des révocations Secure Boot est distincte du cycle de mises à jour Windows classique et reste mal comprise des équipes IT. Microsoft a publié des instructions spécifiques pour appliquer les révocations DBX (Forbidden Signature Database), mais leur application n'est pas automatique sur tous les systèmes.

Pour les organisations françaises opérant dans des secteurs sensibles ou ayant des missions diplomatiques à l'étranger, cet incident rappelle les recommandations de l'ANSSI sur la sécurisation du démarrage UEFI. Le guide ANSSI sur la sécurité des systèmes UEFI prescrit précisément les mesures permettant de limiter l'exposition aux bootkits de ce type, notamment l'activation du Secure Boot avec une base de révocations à jour et l'utilisation de systèmes Secured-core PC.

Ce qu'il faut retenir

• BlackX est un bootkit UEFI lié à APT41 qui contourne Secure Boot via CVE-2022-21894 et neutralise les EDR avant leur chargement.
• Les organisations n'ayant pas appliqué les révocations Secure Boot de Microsoft (DBX updates) restent vulnérables même si Windows est à jour.
• La correction passe par l'application des révocations DBX, le durcissement UEFI (Secured-core PC, TPM 2.0, Secure Boot actif), et la surveillance de l'intégrité du firmware.