Microsoft avait largement communiqué au lancement de Windows 11 sur la sécurité renforcée. Cette dernière est cependant mise à mal par le premier bootkit connu à pouvoir passer toutes ses défenses – y compris le Secure Boot – dans le but d’introduire une charge virale.

BlackLotus est un bootkit dont les premières détections ont été faites par le chercheur en sécurité Sergey Lozhkin de chez Kaspersky, en octobre dernier. Mais de l’avis d’ESET, qui vient de publier un article dédié, cette nouvelle version représente un grand bond en avant « en termes de facilité d’utilisation, de mise à l’échelle, d’accessibilité et, surtout, de potentiel pour un impact beaucoup plus important en matière de persistance, d’évasion et de destruction ».

Le danger vient également de son prix, car BlackLotus est vendu à peine 5 000 dollars sur certains sites spécialisés, auxquels s’ajoutent 200 dollars pour chaque version ultérieure. Pour ce tarif, les possibilités offertes sont nombreuses.

Ce que sait faire BlackLotus

BlackLotus est un bootkit, c’est-à-dire un morceau de code ayant la capacité de s’installer très tôt dans la chaine de démarrage de l’ordinateur. Si tôt qu’il peut se charger avant même la grande majorité des sécurités, y compris le Secure Boot, qui a justement pour objectif de valider l’intégrité des différents éléments de la chaine.

Son objectif premier est d’exploiter la vulnérabilité CVE-2022-21894, nommée aussi Baton Drop. Cette faille a été corrigée par Microsoft il y a plus d’un an (en janvier 2022). En cas d’exploitation réussie, il installe un pilote en espace noyau et un téléchargeur HTTP dont le rôle est de communiquer avec un serveur command-and-control (C2) pour recevoir des instructions.

Une fois en place, il écrit des fichiers dans la partition EFI système et provoque un redémarrage de l’ordinateur. De là, BlackLotus peut contourner toutes les dernières défenses ajoutées dans Windows, y compris BitLocker, Windows Defender et même Hypervisor-protected Code Integrity (HVCI), dont le rôle est justement de s’assurer qu’aucun pilote non-signé ne s’exécute en espace noyau. La faille est alors transformée en « arme » et exploitée par le pilote en espace noyau pour atteindre la persistance.

À ce moment-là, le système est infecté et les commandes du serveur C2 peuvent arriver. Le téléchargeur – qui s’introduit dans winlogin.exe – va récupérer la charge virale correspondant aux besoins des pirates et le bootkit peut être supprimé pour minimiser les traces. Les fichiers téléchargés peuvent être de n’importe quel type, comme un autre pilote en espace noyau, une DLL ou encore un exécutable plus classique.

BlackLotus possède des défenses contre les antivirus et les outils de débogage, ainsi que des techniques d’obscurcissement. Les fichiers inscrits dans la partition EFI ne peuvent pas être retirés sans provoquer un écran bleu. Rien d’incroyable cependant selon ESET, car ces défenses peuvent être facilement contournées avec « peu d’efforts ».

Détails et mystères

BlackLotus pèse environ 80 Ko et est constitué de code en assembleur et en C. Point intéressant, noté par ESET, il dispose de capacités de géorepérage pour éviter d’infecter des machines situées en Arménie, au Bélarus, au Kazakhstan, en Moldavie, en Roumanie, en Russie et en Ukraine.

Selon la société de sécurité, on ne sait pas encore comment BlackLotus est installé sur une machine en premier lieu. On suppose qu’il est envoyé par des moyens traditionnels, potentiellement pendant des campagnes de harponnage, c’est-à-dire d’hameçonnage très ciblé.

Le constat n’en est pas moins là : BlackLotus est capable de s’exécuter correctement sur un Windows 11 disposant des dernières mises à jour et avec toutes les protections activées.

Comment une telle exploitation est-elle possible, puisque la faille CVE-2022-21894 a été corrigée il y a plus d’un an ? C’est tout le problème de l’infrastructure du Secure Boot, selon ESET. BlackLotus s’installe en effet avec une signature authentique et est donc reconnu comme élément légitime de la chaine de démarrage.

En outre, le bootkit télécharge les anciennes versions des fichiers concernés et possédant encore la faille. Problème, ces fichiers n’ont pas été inscrits sur la liste de révocation UEFI, permettant l’exploitation de la vulnérabilité sans que le système trouve à y redire. Toujours selon ESET d’ailleurs, un POC (proof-of-concept) était apparu dès août 2022. Au vu des premières détections de BlackLotus quelques mois plus tard, il est probable que les pirates aient repris ce POC en ne l’adaptant que légèrement pour leurs besoins.

Dès lors, pourquoi cette révocation prend-elle du temps ? Parce qu’on ne peut pas interdire aussi simplement des fichiers potentiellement encore utilisés par de très nombreuses machines, au risque de provoquer divers plantages chez de nombreuses personnes. La période de contrôle prend du temps, et les mises à jour de la liste de révocation sont fournies avec les correctifs mensuels de sécurité par Microsoft.

Pas 36 solutions

Il n’y a guère de solution efficace pour supprimer BlackLotus d’un système, en dehors de la réinstallation complète de Windows après formatage. Mieux vaut donc prévenir que guérir, en s’assurant déjà que l’on utilise un système à jour et un antivirus disposant de sa dernière base pour détecter BlackLotus avant qu’il puisse entrer en action.

On ignore son mode de distribution, mais on peut répéter une nouvelle fois le conseil élémentaire en matière de sécurité : ne pas lancer un exécutable dont on n’est pas certain qu’il provient d’une source authentique.

Pour ESET cependant, ce n’était qu’une question de temps avant qu’un logiciel malveillant soit capable de profiter de toutes les craquelures signalées dans Secure Boot.