La dernière étude de l'équipe mondiale de recherche et d'analyse de Kaspersky (GReAT), présentée lors du Security Analyst Summit 2026 à Bali, dévoile la découverte d'un nouveau bootkit sophistiqué, baptisé BlackX. Ce logiciel malveillant s'exécute avant même le démarrage de Windows en exploitant une faille dans l'application d'une mise à jour de sécurité publiée par Microsoft. Les experts attribuent cette campagne avec une confiance modérée au groupe APT41, identifiant BlackX comme le successeur modernisé du célèbre bootkit BlackLotus.
Au début de l'année 2026, les solutions de sécurité Kaspersky ont bloqué avec succès une attaque APT ciblant des organisations diplomatiques en Asie centrale. L'enquête menée par l'équipe Kaspersky GReAT a révélé que les attaquants utilisaient BlackX, un logiciel malveillant complexe et furtif spécialement conçu pour contourner les protections au démarrage du système d'exploitation Windows ainsi que de nombreuses solutions de sécurité tierces, afin de maintenir un accès invisible et à long terme aux appareils des victimes.
L'étude montre que BlackX représente une version mise à jour et modernisée d'un implant appelé BlackLotus, qui avait été vendu sur le dark web en 2022 par des cybercriminels. Il peut contourner la fonctionnalité Secure Boot, pourtant conçue pour garantir que seul un logiciel de confiance s'exécute au démarrage de l'ordinateur. Cela a été rendu possible en exploitant une vulnérabilité déjà connue appelée « Baton Drop ». Bien que Microsoft ait publié un correctif pour cette faille, la mise à jour exige des administrateurs système qu'ils effectuent manuellement certaines étapes de configuration pour activer pleinement la protection. De nombreuses organisations n'ayant pas réalisé ces étapes manuelles sont restées vulnérables. Ainsi, les attaquants ont pu exploiter la vulnérabilité Baton Drop même sur des systèmes où le correctif avait été installé.
Les attaquants ont déployé le bootkit BlackX en tant que logiciel malveillant secondaire à très forte persistance, après avoir déjà compromis les réseaux internes et obtenu des privilèges d'administration sur les machines Windows des victimes. Pour masquer leurs activités face aux équipes d'intervention, les attaquants ont transmis les composants du bootkit sur les appareils cibles à l'aide de fichiers chiffrés et de programmes d'installation personnalisés, spécialement conçus pour échapper à la détection.
Après avoir réussi l'exploitation de la faille, BlackX déploie un composant qui désactive les logiciels de sécurité. La protection Endpoint de Kaspersky a bloqué la tentative du malware de la neutraliser, provoquant l'échec de l'attaque. S'ils avaient réussi à désactiver la protection, l'étape suivante pour les attaquants aurait été d'exécuter un logiciel espion détournant des services cloud légitimes tels que Google Drive, OneDrive et Yandex Disk afin de voler des informations confidentielles et de surveiller les activités des victimes.
« L'émergence de BlackX est marquante car nous voyons rarement des groupes APT emprunter du code ou des concepts, tels que BlackLotus, à la cybercriminalité underground. En adaptant un outil criminel commercial, le groupe a pu contourner les procédures destinées à protéger les processus de démarrage de Windows. Cette approche hybride prouve que des adversaires sophistiqués n'ont pas besoin de réinventer la roue pour établir un contrôle persistant et invisible sur des réseaux à haute valeur ajoutée », a déclaré Georgy Kucherin, expert en sécurité chez Kaspersky GReAT.
Le rapport complet est disponible sur Securelist.
Pour se défendre contre cette menace et d'autres similaires, les organisations doivent s'assurer que leurs services informatiques exécutent manuellement les étapes recommandées par Microsoft pour combler Baton Drop et d'autres vulnérabilités comparables. De plus, les entreprises devraient restreindre les privilèges d'administration et déployer des solutions de sécurité capables de surveiller l'intégrité du firmware. Le composant Exploit Prevention présent dans les solutions Endpoint de Kaspersky empêche l'exécution des exploits, même si le correctif n'a pas été appliqué ou s'il s'agit d'une vulnérabilité zero-day pour laquelle aucun correctif n'existe encore.
À propos de l'équipe Global Research & Analysis Team (GReAT)
Créée en 2008, l'équipe mondiale de recherche et d'analyse (GReAT) opère au cœur même de Kaspersky, mettant au jour les menaces APT, les campagnes de cyberespionnage, les logiciels malveillants majeurs, les ransomwares et les tendances de la cybercriminalité underground dans le monde entier. Aujourd'hui, GReAT compte plus de 35 experts travaillant à l'échelle globale — en Europe, en Russie, en Amérique latine, en Asie et au Moyen-Orient. Ces professionnels de la sécurité apportent à la direction de l'entreprise leur expertise en recherche et innovation contre les malwares, mettant une curiosité et une passion sans égales au service de la découverte et de l'analyse des cybermenaces.
À propos de Kaspersky
Kaspersky est une société internationale de cybersécurité et de protection de la vie privée numérique fondée en 1997. Pionnière dans le secteur grâce à son approche de « Cyber Immunité », Kaspersky protège les particuliers, les entreprises, les infrastructures critiques et les gouvernements contre les cybermenaces, avec plus d'un milliard d'appareils protégés à ce jour.
Kaspersky garantit une cybersécurité adaptée aux besoins des entreprises, en mettant l'accent sur l'obtention de résultats concrets, la protection du chiffre d'affaires, l'allègement de la charge de travail et la prévention des interruptions de service. Les connaissances approfondies de Kaspersky en matière de menaces et son expertise en sécurité se traduisent constamment par des solutions et des services innovants destinés aux organisations de toutes tailles, des petites entreprises aux grandes sociétés, combinant des technologies de protection éprouvées basées sur l'IA avec une gestion simple et un support expert.
Reconnue par des tests indépendants et bénéficiant de la confiance de millions de particuliers à travers le monde et de près de 200 000 organisations, Kaspersky aide à détecter les menaces plus tôt, à réagir plus rapidement et à opérer avec davantage de confiance et de liberté, en protégeant ce qui compte le plus pour nos clients. Pour en savoir plus, rendez-vous sur www.kaspersky.fr
