BlackX, UEFI bootkit, attaque les missions diplomatiques du Tadjikistan, de l'Ouzbékistan et du Turkménistan

Au cours des premières semaines de 2026, des organisations diplomatiques en Asie centrale - en particulier au Tadjikistan, en Ouzbékistan et au Turkménistan - ont été attaquées au moyen d'un nouveau kit UEFI auquel des chercheurs de Kaspersky ont baptisé NoirX. Selon le rapport technique publié par l'entreprise russe, l'objectif principal de ce malware est de saper les défenses de démarrage de Windows et de désactiver ou d'échapper aux solutions de sécurité tiers pour maintenir l'accès persistant et secret à des équipements de grande valeur.

Les faits confirmés par Kaspersky sont les suivants: Noir X agit au niveau du firmware UEFI, installe des composants à la fois dans la partition système et la partition UEFI, explore une vulnérabilité connue dans Secure Boot (CVE-2022-21894, ce qu'on appelle "Baton Drop") et livre une charge utile du noyau qui injecte un pilote signé frauduleusement et un ensemble de charges utiles utilisateur-espace dédiées à l'espionnage et à la télécommande. L'entreprise a observé des fichiers spécifiques utilisés dans l'installation - par exemple, un exécutable installé dans C:\ ProgramData\ Intel\ inst.exe et un fichier chiffré utilisé comme paquet - et des procédures d'exécution avec des clés RC4 qui permettent la décompression et l'écriture des composants du disque.

Techniquement, Noir X reprend la même technique que BlackLotus bootkit : ajoutez des clés (MOK, Machine Owner Keys) ou chargez des binaires EFI avant le démarrage du système d'exploitation, de sorte que le code malveillant fonctionne avec des privilèges très précoces et peut interférer avec les mécanismes Secure Boot et anti-malware. Le fonctionnement de CVE-2022-21894 permet de charger des binaires non autorisés à ce stade. Il est important de souligner que l'opération n'est pas triviale: pour déployer un bootkit largement l'attaquant a besoin de privilèges administratifs dans la machine ou d'un accès physique à l'équipement; par conséquent, BlackX est utilisé comme un mécanisme de persistance et d'évasion après un engagement initial, pas comme vecteur initial, quelque chose déjà indiqué par Microsoft lorsque BlackLotus a été documenté.

Que fait le code après le chargement: le composant UEFI installe un pilote noyau signé avec un certificat appartenant à une entité qui a été ultérieurement révoqué, et tente de modifier le fonctionnement des solutions de sécurité dans le système (avec des routines spécifiques pour les produits Kaspersky et Avast, que Kaspersky considère inefficaces dans l'échantillon analysé). En outre, le paquet comprend des frais d'espace utilisateur: un cheval de Troie d'accès à distance qui peut télécharger . Modules NET et utiliser des services de synchronisation de cloud légitimes comme Google Drive, OneDrive et Yandex. Disque en tant que canaux de contrôle et de contrôle pour camoufler le trafic, et une DLL malveillante (avec googleupdate.exe) qui exécute un binaire Rust qui contacte un domaine distant pour recevoir des plugins supplémentaires.

L'attribution technique est partielle et prudente: Kaspersky relie la campagne à un acteur avec des méthodologies compatibles avec les attaques parrainées par la Chine, et associe BlackX à l'APT41 en se fondant sur des chevauchements techniques et tactiques et une analyse croisée avec des rapports précédents. ESET, pour sa part, a documenté les familles et les opérations sous l'égide de l'APT41 (FishMonger / Aquatic Panda) qui utilisait des portes arrières comme SprySOCKS et parfois des composants UEFI. Ces liens sont toutefois des estimations basées sur des indicateurs et des modèles de comportement : l'attribution à un acteur d'État demeure une inférence médico-légale, et non une preuve irréfutable.

Pourquoi certains systèmes restent vulnérables même s'ils sont "patchés": vulnérabilité CVE-2022-21894 a un patch, mais l'atténuation supplémentaire nécessite des étapes manuelles pour ajouter et bloquer des certificats dans la liste de verrouillage Secure Boot (DBX). Kaspersky souligne que de nombreux administrateurs n'ont pas effectué ces actions manuelles - par exemple, ajouter l'AC utilisée par certains binaires à la liste interdite - et donc BlackX peut rester efficace même sur les machines avec des mises à jour appliquées. Pour plus de détails sur la protection du processus de démarrage et de gestion DBX, Microsoft conserve la documentation technique de référence: Guide de démarrage sécurisé de Microsoft.

Conséquences pratiques : la présence d'un bootkit comme BlackX dans un environnement diplomatique signifie un contrôle persistant sous le système d'exploitation, une difficulté supérieure à détecter l'intrusion avec des outils traditionnels, et un risque réel d'espionnage continu (collecte de fichiers, exfiltration discrète, mouvements latéraux avec des pouvoirs compromis). En outre, si des binaires malveillants sont enregistrés dans le firmware ou les clés MOK ont été ajoutés, une simple réinstallation du système d'exploitation ne garantit pas la médiation; l'infection peut survivre à un formatage sans intervention au niveau du firmware.

Ce qui est sûr et ce qui n'est pas confirmé: il est confirmé que Kaspersky a observé la campagne contre les missions diplomatiques dans les pays susmentionnés et que le bootkit réutilise la technique BlackLotus pour échapper à Secure Boot. C'est une estimation raisonnable, appuyée par l'analyse ESET, que les acteurs associés à l'APT41 sont en retard, mais l'attribution complète peut contenir des incertitudes et dépend des corrélations entre les indicateurs et les méthodologies. On ignore aussi publiquement si le code BlackLotus original a été acheté ou reproduit par ingénierie inverse; les deux scénarios sont plausibles et mentionnés par des experts.

Recommandations précises et immédiates à l'intention des gestionnaires et des fonctionnaires de la sécurité :

1) Vérification et mise en oeuvre de la DBX / Atténuation de la liste interdite : En plus d'installer tous les correctifs Windows, exécutez les étapes manuelles recommandées par Microsoft pour gérer la liste des certificats bloqués dans Secure Boot et assurez-vous que les certificats compromis ne permettent pas le chargement de binaires malveillants (voir le guide Microsoft ci-dessus).

2) Examiner l'intégrité du firmware et des partitions UEFI : utiliser des outils médico-légaux et d'intégrité tels que CHIPSEC (https: / / github.com / chipsec / chipsec) pour détecter les changements dans la partition EFI, les clés ajoutées (MOK) ou les binaires inattendus au démarrage.

3) S'il y a suspicion d'engagement, isoler et prévenir avant de réparer: Les images de disque, le débordement de mémoire et l'analyse de partition UEFI devraient précéder toute réinstallation. Dans les environnements diplomatiques à haut risque, les réflexes du firmware sont pris en compte par des fournisseurs fiables et la réinstallation complète des moyens vérifiés.

4) Revoir les privilèges et les vecteurs d'accès initiaux : Puisque le déploiement nécessite des privilèges élevés ou un accès physique, étudiez comment les attaquants ont obtenu ces privilèges (phishing, exposed identity, service operating, physique access) et appliquez des mesures d'atténuation : rotation du mot de passe, authentification multifactorielle, segmentation du réseau, examen des comptes avec privilèges et contrôle physique d'accès.

5) Surveiller le trafic sortant et les activités inhabituelles dans les services cloud : Noir X utilise des services de synchronisation légitimes tels que C2; audit de l'utilisation des comptes sur Google Drive, OneDrive et Yandex. Disk, et établir des politiques de contrôle et des alertes pour un accès inhabituel.

Les menaces au niveau de l'UEFI soulèvent le lien technique avec la réponse et exigent que les organisations à forte exposition repensent leurs processus de gouvernance du firmware, leurs correctifs et leurs listes de confiance. Pour comprendre le contexte technique et le contexte du vecteur BlackLotus original, il convient de revoir l'analyse ESET publiée en 2023 sur ce bootkit: ESET - Analyse BlackLotus. Pour les références CVE et les détails techniques des vulnérabilités ci-dessus, voir les fiches de données NVD officielles : CVE-2022-21894 et CVE-2023-24932.

En bref, BlackX est une résurgence et adaptation d'une technique à impact élevé qui vous oblige à mettre de côté les solutions de surface (juste appliquer le patch) et à adopter une approche médico-légale et firmware complète. Pour les organisations diplomatiques et autres institutions critiques, la priorité devrait être de vérifier l'intégrité du démarrage et de fermer les vecteurs qui ont permis l'entrée initiale de l'agresseur.