BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot
Mis à jour :
BlackX : Un nouveau bootkit UEFI exploitant la faille Baton Drop
Le bootkit UEFI BlackX, attribué au groupe de cyberespionnage APT41, cible des agences diplomatiques en Asie centrale. Ce malware utilise une technique de compromission similaire à celle du célèbre bootkit BlackLotus pour contourner le processus de démarrage sécurisé (Secure Boot) de Windows, même sur des systèmes intégralement mis à jour.
Points clés :
- Origine : Le code de BlackX présente des similitudes techniques poussées avec BlackLotus, suggérant une ingénierie inverse ou l’acquisition de son code source.
- Fonctionnement : Une fois actif, le bootkit injecte un pilote noyau malveillant signé avec un certificat révoqué. Ce pilote neutralise les processus de sécurité (notamment ceux de Kaspersky et Avast), altère le traçage des événements Windows (ETW) et déploie des charges utiles d’espionnage (RAT et outils modulaires en Rust).
- Faille exploitée : L’attaque repose sur la vulnérabilité CVE-2022-21894 (Baton Drop).
Vulnérabilité :
- CVE-2022-21894 (Baton Drop) : Permet de contourner le Secure Boot en chargeant des fichiers EFI arbitraires.
Recommandations :
- Activation manuelle des révocations : L’installation des correctifs Windows ne suffit pas à bloquer la faille. Les administrateurs doivent impérativement activer manuellement les révocations des certificats vulnérables.
- Mise à jour des listes de blocage : S’assurer que le certificat « Windows Production PCA 2011 » est explicitement ajouté à la liste de blocage du micrologiciel (UEFI/DBX), car sa simple date d’expiration ne suffit pas à empêcher le chargement des composants vulnérables.
- Suivi des directives Microsoft : Appliquer strictement les procédures recommandées par Microsoft pour la mise à jour des gestionnaires de démarrage (boot managers) révoqués.