BlackX : un bootkit UEFI exploite la faille Baton Drop pour contourner Secure Boot
24 octobre 2026 · Cybersécurité
Un nouveau bootkit UEFI nommé BlackX, attribué avec un niveau de confiance moyen au groupe APT41 (Brass Typhoon), a été découvert début 2026 lors d'une campagne d'espionnage ciblant des agences diplomatiques en Asie centrale. Il exploite la vulnérabilité Baton Drop (CVE-2022-21894), déjà utilisée par BlackLotus, pour contourner Secure Boot sur des systèmes Windows entièrement patchés. Selon Kaspersky, l'attaque reste possible car la révocation du certificat nécessaire n'est pas appliquée automatiquement à l'installation des mises à jour. Le bootkit déploie des payloads d'espionnage incluant un RAT utilisant des services cloud (Google Drive, OneDrive) et des plugins chargés dynamiquement.
Impact marchés
Secteurs gouvernementaux et diplomatiques exposés ; solutions de sécurité Kaspersky et Avast ciblées spécifiquement par le driver malveillant. Microsoft est indirectement mis en cause pour le caractère non-automatique de la révocation de certificat.
Opportunités
Opportunité pour les éditeurs de solutions de sécurité endpoint et UEFI (ex. solutions de détection au niveau firmware). Risque accru pour les administrations publiques et organisations diplomatiques n'ayant pas appliqué manuellement les révocations Secure Boot. À surveiller : toute annonce de Microsoft sur l'automatisation de la révocation du certificat PCA 2011.