Corrigée en 2022, une faille du démarrage de Windows sert encore à espionner des diplomates

Pour cacher ses fichiers, le programme a trouvé une ruse presque comique : qui tente de les ouvrir tombe sur la calculatrice de Windows. Derrière ce détour se cache un logiciel malveillant beaucoup moins drôle, logé dans la toute première étape du démarrage de l'ordinateur, avant Windows lui-même.

Le 22 octobre, trois chercheurs de Kaspersky, Georgy Kucherin, Vladimir Nestor et Vasily Berdnikov, ont décrit BlackX. C'est un « bootkit » UEFI, c'est-à-dire un programme qui s'installe dans la chaîne de démarrage de la machine. Il a servi début 2026 contre des organismes diplomatiques du Tadjikistan, de l'Ouzbékistan et du Turkménistan. Kaspersky l'attribue, avec une confiance moyenne, au groupe d'espionnage APT41, aussi appelé Brass Typhoon ou Wicked Panda. Le point qui doit alerter les services informatiques : selon Kaspersky, toutes les victimes avaient Windows à jour.

Comment un PC à jour a-t-il pu être piraté au démarrage ?

BlackX exploite Baton Drop (CVE-2022-21894), une faille du gestionnaire de démarrage de Windows corrigée en janvier 2022 et déjà utilisée par le bootkit BlackLotus. Elle permet de contourner le démarrage sécurisé (Secure Boot), censé empêcher le chargement de composants non autorisés. Les pirates y inscrivent leurs propres clés, des « Machine Owner Keys », pour lancer ensuite les fichiers de leur choix.

Pourquoi le correctif n'a-t-il pas suffi ? Parce qu'il ne retire pas la confiance accordée aux anciens gestionnaires de démarrage vulnérables, signés avec le certificat « Windows Production PCA 2011 ». Cette révocation « ne se fait pas automatiquement à l'installation du correctif », écrit Kaspersky : l'administrateur doit la déclencher lui-même. Le certificat a expiré le 19 octobre 2026, mais, préviennent les chercheurs, cela n'empêche pas les fichiers vulnérables de se charger tant qu'il n'est pas placé sur liste noire. Microsoft prévoit une phase d'application automatique, dont la date n'est toujours pas annoncée.

Kaspersky juge l'exploit « remarquablement similaire » à celui de BlackLotus et pense que son auteur a soit analysé BlackLotus en détail, soit obtenu son code source. Une fois en place, BlackX charge un pilote signé avec un certificat révoqué, qui neutralise des mécanismes utilisés par les logiciels de sécurité. Une partie vise spécifiquement Kaspersky et Avast, sans effet sur les produits Kaspersky selon l'éditeur. Viennent ensuite un outil de prise de contrôle à distance, qui communique par Google Drive, OneDrive ou Yandex.Disk, et un chargeur de modules baptisé OxiDLLRunner.

Ce que les administrateurs peuvent faire dès maintenant

Pour installer BlackX, les attaquants avaient déjà obtenu les droits d'administrateur. La révocation ne répare donc pas une intrusion, mais elle ferme une porte qui permet à un pirate de s'enraciner sous Windows, hors de portée des outils de sécurité. Microsoft la décrit dans son article KB5025885, mis à jour le 30 septembre 2026 :

• mettez d'abord à jour la base des certificats autorisés, puis révoquez « Windows Production PCA 2011 » dans la liste de révocation (DBX), à l'aide de la valeur de registre AvailableUpdates et de la tâche planifiée Secure-Boot-Update ;
• testez sur un appareil de chaque modèle avant de généraliser : Microsoft signale des micrologiciels qui refusent la mise à jour, et des problèmes connus avec des machines virtuelles VMware, certains PC HP ou Symantec Endpoint Encryption ;
• sauvegardez les clés de récupération BitLocker et refaites vos supports de démarrage et de réinstallation, car les anciens risquent de ne plus démarrer ;
• sachez que l'opération est irréversible : une fois la révocation appliquée avec Secure Boot actif, même un reformatage du disque ne l'annule pas.

Microsoft promet au moins six mois de préavis avant d'imposer la révocation. Combien d'autres groupes ont, eux aussi, mis la main sur le code de BlackLotus ? Kaspersky ne le dit pas. Mais BlackX montre qu'une faille corrigée il y a près de cinq ans reste exploitable tant que cette dernière étape n'a pas été faite.