BlackX : bootkit UEFI contourne Windows à jour
Original : UEFI bootkit infected fully patched Windows machines. Is Microsoft to blame?
Pourquoi c'est important
Les bootkits UEFI exposent une limite structurelle des mises à jour Windows face aux menaces persistantes.
Le bootkit BlackX infecte des machines Windows 11 entièrement patchées en exploitant CVE-2022-21894, une faille signalée en 2022. Malgré plusieurs correctifs Microsoft entre 2022 et 2024, la révocation des certificats reste incomplète.
Un nouveau bootkit UEFI baptisé BlackX parvient à compromettre des systèmes Windows 11 entièrement mis à jour — et la responsabilité partielle de Microsoft est pointée du doigt. BlackX exploite la même faille que BlackLotus, son prédécesseur : CVE-2022-21894, surnommée « Baton Drop », une erreur de logique dans le gestionnaire de démarrage Windows permettant de contourner Secure Boot et, dans certains cas, d'extraire des clés BitLocker.
Microsoft avait corrigé la vulnérabilité en 2022, puis émis deux mises à jour supplémentaires en 2023 et 2024 : la première ajoutait un nouveau certificat ne faisant plus confiance aux gestionnaires de démarrage vulnérables ; la seconde fournissait les moyens de révoquer le certificat signataire des anciennes versions. Les organisations infectées par BlackX avaient pourtant installé l'ensemble de ces patches.
Le problème réside dans le manque de clarté de Microsoft concernant l'activation effective des protections Secure Boot. Comme BlackLotus avant lui, BlackX s'exécute très tôt dans le processus de démarrage, chargeant des pilotes malveillants dans le noyau Windows avant que les défenses de sécurité ne soient opérationnelles. Le bootkit peut survivre à une réinstallation du système si la partition de démarrage infectée reste intacte.