La dernière étude de l’équipe mondiale de recherche et d’analyse de Kaspersky (GReAT), présentée lors du Security Analyst Summit 2026 à Bali, dévoile la découverte d’un nouveau bootkit sophistiqué, baptisé BlackX. Ce logiciel malveillant s’exécute avant même le démarrage de Windows en exploitant une faille dans l’application d’une mise à jour de sécurité publiée par Microsoft. Les experts attribuent cette campagne avec une confiance modérée au groupe APT41, identifiant BlackX comme le successeur modernisé du célèbre bootkit BlackLotus.
Tribune – Au début de l’année 2026, les solutions de sécurité Kaspersky ont bloqué avec succès une attaque APT ciblant des organisations diplomatiques en Asie centrale. L’enquête menée par l’équipe Kaspersky GReAT a révélé que les attaquants utilisaient BlackX, un logiciel malveillant complexe et furtif spécialement conçu pour contourner les protections au démarrage du système d’exploitation Windows ainsi que de nombreuses solutions de sécurité tierces, afin de maintenir un accès invisible et à long terme aux appareils des victimes.
L’étude montre que BlackX représente une version mise à jour et modernisée d’un implant appelé BlackLotus, qui avait été vendu sur le dark web en 2022 par des cybercriminels. Il peut contourner la fonctionnalité Secure Boot, pourtant conçue pour garantir que seul un logiciel de confiance s’exécute au démarrage de l’ordinateur. Cela a été rendu possible en exploitant une vulnérabilité déjà connue appelée « Baton Drop ». Bien que Microsoft ait publié un correctif pour cette faille, la mise à jour exige des administrateurs système qu’ils effectuent manuellement certaines étapes de configuration pour activer pleinement la protection. De nombreuses organisations n’ayant pas réalisé ces étapes manuelles sont restées vulnérables. Ainsi, les attaquants ont pu exploiter la vulnérabilité Baton Drop même sur des systèmes où le correctif avait été installé.
Les attaquants ont déployé le bootkit BlackX en tant que logiciel malveillant secondaire à très forte persistance, après avoir déjà compromis les réseaux internes et obtenu des privilèges d’administration sur les machines Windows des victimes. Pour masquer leurs activités face aux équipes d’intervention, les attaquants ont transmis les composants du bootkit sur les appareils cibles à l’aide de fichiers chiffrés et de programmes d’installation personnalisés, spécialement conçus pour échapper à la détection.
Après avoir réussi l’exploitation de la faille, BlackX déploie un composant qui désactive les logiciels de sécurité. La protection Endpoint de Kaspersky a bloqué la tentative du malware de la neutraliser, provoquant l’échec de l’attaque. S’ils avaient réussi à désactiver la protection, l’étape suivante pour les attaquants aurait été d’exécuter un logiciel espion détournant des services cloud légitimes tels que Google Drive, OneDrive et Yandex Disk afin de voler des informations confidentielles et de surveiller les activités des victimes.
« L’émergence de BlackX est marquante car nous voyons rarement des groupes APT emprunter du code ou des concepts, tels que BlackLotus, à la cybercriminalité underground. En adaptant un outil criminel commercial, le groupe a pu contourner les procédures destinées à protéger les processus de démarrage de Windows. Cette approche hybride prouve que des adversaires sophistiqués n’ont pas besoin de réinventer la roue pour établir un contrôle persistant et invisible sur des réseaux à haute valeur ajoutée », a déclaré Georgy Kucherin, expert en sécurité chez Kaspersky GReAT.
Le rapport complet est disponible sur Securelist.
Pour se défendre contre cette menace et d’autres similaires, les organisations doivent s’assurer que leurs services informatiques exécutent manuellement les étapes recommandées par Microsoft pour combler Baton Drop et d’autres vulnérabilités comparables. De plus, les entreprises devraient restreindre les privilèges d’administration et déployer des solutions de sécurité capables de surveiller l’intégrité du firmware. Le composant Exploit Prevention présent dans les solutions Endpoint de Kaspersky empêche l’exécution des exploits, même si le correctif n’a pas été appliqué ou s’il s’agit d’une vulnérabilité zero-day pour laquelle aucun correctif n’existe encore.