Le correctif existe depuis 2023. Presque personne ne l'a activé.
Il y a une semaine, nous évoquions l'expiration du certificat Microsoft Windows Production PCA 2011 le 19 octobre, en citant BlackLotus, ce bootkit qui se charge avant Windows et donc avant que quoi que ce soit puisse le voir. Kaspersky vient de publier l'analyse d'une copie de BlackLotus trouvée dans la nature, et le plus intéressant n'est pas le logiciel malveillant.
Il s'appelle BlackX. L'équipe GReAT de Kaspersky l'a décrit le 22 octobre, BleepingComputer a suivi le 24. Il a été utilisé début 2026 contre des représentations diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan, et il est attribué avec une confiance moyenne à APT41. Il exploite CVE-2022-21894, la faille surnommée Baton Drop, pour enregistrer sa propre Machine Owner Key et charger le fichier EFI de son choix en contournant Secure Boot. Il dépose ensuite un pilote noyau, signé par un certificat délivré à une entité nommée Wenjiang District Mingyu Network Technology Service Studio, qui sabote discrètement Kaspersky et Avast s'il trouve l'un des deux installé. Le pilote masque aussi les fichiers du bootkit, et si vous tentez d'en ouvrir un, c'est la calculatrice Windows qui s'ouvre.
Voici le point qui concerne tout le monde. Ces machines étaient à jour. Microsoft a corrigé Baton Drop en 2023, mais installer le correctif ne révoque pas les composants de démarrage vulnérables, car cette révocation casserait les configurations en double démarrage. Quelqu'un doit poser une clé de registre et lancer une tâche planifiée pour terminer le travail, et dans les faits presque personne ne le fait. La protection a été livrée. Elle est restée désactivée pendant trois ans.
Aucun PC domestique n'intéresse une équipe d'espionnage qui travaille sur des ambassades d'Asie centrale, il n'y a donc pas de quoi s'inquiéter ce soir. Le réflexe à en retirer est plus modeste : "entièrement mis à jour" et "entièrement protégé" ne sont pas la même phrase, et l'état de Secure Boot sur votre machine mérite un coup d'oeil maintenant que le changement de certificat est passé. Le contrôle de posture de sécurité de Tendvane lit cet état, avec BitLocker, sans avoir à fouiller dans les menus.