De nombreuses organisations ont été victimes d'intrusions de sécurité causées par un nouveau logiciel malveillant connu sous le nom de BlackX, un UEFI bootkit qui a réussi à contourner la fonctionnalité "Démarrage sécurisé" (Secure Boot) sur des systèmes Windows 11 pourtant entièrement mis à jour. Cet incident soulève des questions fondamentales sur la stratégie de Microsoft en matière de gestion des mises à jour de sécurité complexes.
Quelle est la nature de la menace ?
BlackX fonctionne selon la même méthode que le logiciel BlackLotus apparu en 2023, en exploitant une vulnérabilité logique dans le gestionnaire de démarrage de Windows connue sous le nom de "Baton Drop" (enregistrée sous la référence CVE-2022-21894). La dangerosité de ces logiciels réside dans le fait qu'ils s'exécutent à un stade très précoce du processus de démarrage de l'appareil, ce qui leur permet de charger des pilotes malveillants dans le noyau du système d'exploitation avant que la plupart des défenses de sécurité ne soient actives. Ils se caractérisent également par leur persistance et leur difficulté à être détectés.
Pourquoi les mises à jour n'ont-elles pas assuré la protection ?
Bien que Microsoft ait publié des mises à jour pour corriger cette vulnérabilité dès 2022, la protection n'était pas entièrement automatique. Des chercheurs de la société Kaspersky ont expliqué que les mises à jour publiées par Microsoft en 2023 et 2024 n'ont pas révoqué automatiquement la confiance accordée aux anciens certificats numériques, par crainte de provoquer l'arrêt du démarrage de millions d'appareils.
Au lieu de cela, Microsoft a laissé aux administrateurs système la responsabilité d'effectuer des étapes manuelles supplémentaires pour activer la protection complète, des instructions que les chercheurs ont qualifiées d'"enfouies" dans la documentation de support technique et difficiles à remarquer ou à mettre en œuvre pour les responsables informatiques ordinaires.
Qu'est-ce que cela signifie pour les utilisateurs ?
Cet incident souligne le fossé entre la publication d'un correctif de sécurité et son application réelle. Alors que les organisations pensent être protégées une fois les mises à jour périodiques installées, la protection contre les vulnérabilités UEFI nécessite des mesures manuelles supplémentaires qui ne sont pas clairement communiquées. Les experts estiment que les attaquants ont exploité cette ambiguïté, conscients que peu d'organisations activent les mesures de protection manuelles requises, faisant du clonage des techniques de BlackLotus et du développement de BlackX un investissement rentable pour les pirates.
Jusqu'à présent, Microsoft n'a pas émis d'avertissement explicite aux utilisateurs indiquant que les mises à jour actuelles ne suffisent pas à assurer une protection complète contre les attaques "Baton Drop", laissant les administrateurs système dans l'incertitude quant à la manière de sécuriser définitivement leurs appareils.