Kaspersky a décrit une campagne menée au début de 2026 avec le bootkit UEFI BlackX contre des organismes diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan. Selon l’entreprise, les attaquants avaient déjà compromis les réseaux et obtenu des droits administrateur avant de déployer BlackX. Son rapport souligne aussi un point important pour Windows : installer les correctifs ne déclenche pas nécessairement la révocation distincte qui vise à bloquer des gestionnaires de démarrage vulnérables.
Une campagne après la compromission des réseaux
Un bootkit UEFI s’installe dans la chaîne de démarrage de l’ordinateur, avant le lancement de Windows. Kaspersky indique que BlackX exploite Baton Drop, une faille logique du gestionnaire de démarrage Windows identifiée sous le numéro CVE-2022-21894, pour contourner Secure Boot, le mécanisme de démarrage sécurisé. Le logiciel installe aussi des clés Machine Owner Key personnalisées afin de permettre le chargement de fichiers EFI contrôlés par les attaquants.
Kaspersky situe l’utilisation de BlackX après la compromission des réseaux visés et l’obtention de privilèges administrateur. L’entreprise décrit également un pilote noyau qui interfère avec des mécanismes utilisés par les outils de sécurité et modifie des fournisseurs ETW, associés à la collecte d’événements Windows. D’autres charges observées incluaient un cheval de Troie d’accès à distance utilisant Google Drive, OneDrive ou Yandex.Disk pour ses communications, ainsi qu’une charge distincte faisant appel à OxiDLLRunner et à un implant Rust.
Installer un correctif ne réalise pas toujours la révocation
Les mises à jour Windows et la révocation du certificat associé à des gestionnaires de démarrage vulnérables correspondent à deux opérations différentes. Kaspersky indique que l’installation des correctifs ne réalise pas automatiquement la révocation Baton Drop. Son rapport décrit une activation distincte, qui comprend un indicateur dans le registre Windows et la création de la tâche planifiée Secure-Boot-Update.
Le certificat Windows Production PCA 2011 a expiré le 19 octobre 2026. Microsoft précise que cette expiration ne bloque pas, à elle seule, le démarrage des appareils Windows. Kaspersky ajoute que l’expiration seule ne bloque pas les binaires vulnérables : le certificat doit être inscrit sur une liste de révocation pour qu’ils soient écartés.
Dans sa notice publiée le 22 octobre 2026, Microsoft indique que les particuliers dont les appareils reçoivent les mises à jour gérées par Microsoft n’ont pas à effectuer les actions décrites dans cette notice sur l’expiration des certificats et les fichiers de démarrage. Kaspersky décrit séparément l’activation de la révocation liée à Baton Drop.
Les récits publics divergent sur l’issue de l’attaque
Le 21 octobre 2026, Kaspersky a déclaré que ses solutions de sécurité avaient bloqué une tentative de désactivation de la protection des terminaux et empêché une attaque. Un article d’Ars Technica publié le 3 novembre décrit, lui, des organisations infectées par BlackX sur des systèmes ayant installé les correctifs concernés. Ces deux récits ne précisent pas s’ils portent sur les mêmes postes ou sur la même étape de la campagne.
