Le bootkit UEFI BlackX a visé des diplomates d'Asie centrale début 2026 et contourne Secure Boot, selon Kaspersky.

Un nouveau bootkit UEFI baptisé BlackX inquiète les spécialistes. Selon un rapport technique de Kaspersky, il a servi à cibler des organisations diplomatiques d’Asie centrale. Les attaques ont eu lieu début 2026. Elles ont visé des entités au Tadjikistan, en Ouzbékistan et au Turkménistan.

Ce logiciel malveillant est jugé sophistiqué. Il sait contourner Secure Boot, y compris sur des systèmes Windows à jour des correctifs. Cependant, ces machines présentent une faiblesse précise : il leur manque des révocations.

Un bootkit UEFI qui vise les diplomates d’Asie centrale

D’abord, rappelons ce qu’est un bootkit. Il s’agit d’un code malveillant qui s’installe très tôt dans la chaîne de démarrage. Il s’exécute donc avant le système d’exploitation. Par conséquent, il échappe à de nombreux outils de sécurité classiques.

BlackX appartient à la catégorie des bootkits UEFI. L’UEFI (Unified Extensible Firmware Interface) est le micrologiciel qui lance l’ordinateur. Il prépare le matériel, puis passe la main au chargeur de démarrage de Windows.

Les cibles sont révélatrices. Les victimes sont des organisations diplomatiques. Ce type de structure détient des échanges sensibles et des informations stratégiques. Ainsi, un accès persistant à leurs postes présente un grand intérêt pour un acteur étatique.

Kaspersky situe la campagne au début de l’année 2026. Les trois pays touchés sont le Tadjikistan, l’Ouzbékistan et le Turkménistan. Cette concentration géographique suggère une opération ciblée plutôt qu’une attaque de masse.

Pourquoi Secure Boot ne suffit pas

Secure Boot est une protection du démarrage. Son principe est simple : seuls les composants signés et approuvés peuvent se charger. En théorie, un bootkit ne devrait donc pas passer.

Toutefois, cette protection repose sur des listes. Certaines définissent ce qui est autorisé. D’autres, les listes de révocation, interdisent des composants autrefois dignes de confiance. Ces derniers peuvent par exemple présenter une faille exploitable.

C’est précisément là que BlackX tire parti d’une faiblesse. Le point central de la découverte concerne des systèmes Windows pourtant corrigés. En effet, un correctif classique ne suffit pas toujours. Il faut aussi que les révocations soient appliquées.

Autrement dit, une machine peut sembler à jour et rester exposée. Un administrateur peut avoir installé toutes les mises à jour de sécurité. Pourtant, si les révocations manquent, Secure Boot peut être contourné.

Cette situation illustre une difficulté connue. Les révocations touchent au micrologiciel et au processus de démarrage. Elles sont donc souvent traitées avec davantage de prudence que les correctifs ordinaires. En outre, leur déploiement peut poser des problèmes de compatibilité.

APT41, un suspect connu mais une attribution prudente

Kaspersky soupçonne un groupe lié à la Chine, connu sous le nom d’APT41. Ce groupe est décrit comme étant soutenu par un État. L’éditeur emploie toutefois le terme « suspecté ». L’attribution n’est donc pas présentée comme une certitude absolue.

Cette prudence est habituelle en cybersécurité. Attribuer une campagne à un groupe demande de recouper de nombreux indices. Ceux-ci incluent notamment les outils, l’infrastructure et le choix des victimes. Par ailleurs, d’autres acteurs peuvent imiter ou réutiliser certaines méthodes.

Quoi qu’il en soit, le profil des victimes correspond à une activité d’espionnage. Les diplomates représentent des cibles de choix pour la collecte de renseignement. Le recours à un bootkit UEFI confirme en outre un haut niveau de moyens. Ce type d’outil demande des compétences techniques rares.

Comment se protéger d’un bootkit UEFI

Les informations disponibles ne détaillent pas toutes les étapes de l’infection. En revanche, la leçon principale est claire. Un système patché n’est pas forcément à l’abri. Les organisations doivent donc vérifier l’état de leurs révocations Secure Boot.

Voici quelques pistes pratiques :

• Auditer les postes sensibles afin de vérifier que les révocations Secure Boot sont bien appliquées.
• Maintenir le micrologiciel à jour sur l’ensemble du parc, en plus des correctifs Windows.
• Vérifier que Secure Boot est activé et que sa configuration n’a pas été modifiée.
• Surveiller le processus de démarrage avec des outils capables d’inspecter le micrologiciel.
• Renforcer la protection des comptes à privilèges, car l’accès initial précède souvent l’installation d’un bootkit.

De plus, les structures diplomatiques et gouvernementales devraient traiter le micrologiciel comme une surface d’attaque à part entière. Un test d’intégrité régulier aide à repérer une altération précoce. Enfin, il est utile de planifier les déploiements de révocations. Une phase de test limite les risques de blocage au redémarrage.

Ce qu’il faut retenir

• BlackX est un bootkit UEFI sophistiqué documenté par Kaspersky.
• Il a ciblé des organisations diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan début 2026.
• Il contourne Secure Boot sur des systèmes Windows corrigés, mais dépourvus de certaines révocations.
• Le groupe APT41, lié à la Chine, est soupçonné d’être à l’origine de la campagne.
• Appliquer les correctifs ne suffit pas : il faut aussi déployer les révocations Secure Boot.

Source : BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations