# Guide de détection et remédiation : BlackLotus

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine peut-être touchée, pas à des analystes. Il s'appuie sur [`blacklotus-uefi-bootkit.md`](blacklotus-uefi-bootkit.md) et, pour ce que mon analyse ne couvre pas, sur la documentation publique de Microsoft et d'ESET (je le signale à chaque fois). BlackLotus est un bootkit UEFI. À la différence d'un ransomware, l'infection ne se limite pas au système de fichiers de Windows : elle touche la partition système EFI et peut-être les variables Secure Boot.

## 1. Suis-je concerné ?

BlackLotus exploite CVE-2022-21894 (« Baton Drop », d'après Microsoft et ESET, je ne l'ai pas revérifié) pour contourner Secure Boot, puis enrôle une clé Machine Owner Key (MOK) contrôlée par l'attaquant. Les signes à chercher :
- Des fichiers `bootload.efi` ou `grubx64.efi` (renommé, sans rapport avec une installation Linux légitime), ou des variantes inattendues de `bootmgfw.efi`/`bootmgr.efi`/`hvloader.efi`, sur la partition système EFI.
- HVCI (Hypervisor-protected Code Integrity) ou BitLocker désactivés sans qu'un administrateur l'ait fait.
- Une clé MOK inattendue dans la configuration Secure Boot (`MokList`).

## 2. Outils de détection publiés

Microsoft a publié des indicateurs de compromission et une méthode de détection dédiés (avril 2023, « Guidance for investigating attacks using CVE-2022-21894 », que je n'ai pas revérifiés). Pour un scan de détection, partez de ces ressources officielles : elles sont tenues à jour, ce qu'un writeup figé ne peut pas faire.

## 3. Supprimez des fichiers ne suffit pas

Un bootkit UEFI s'exécute avant Windows. Un antivirus lancé depuis l'OS compromis n'est donc fiable ni pour le détecter ni pour le supprimer, puisque le bootkit peut fausser ce que l'OS voit. Si vous soupçonnez une infection BlackLotus, il faut tout réinstaller et réinitialiser la partition EFI. Un nettoyage de fichiers ne règle rien.

## 4. Confinement et nettoyage

1. Isolez la machine du réseau dès le constat.
2. Ne nettoyez pas depuis l'OS en place : dès que le bootkit s'exécute avant lui, on ne peut plus faire confiance à cet OS.
3. Réinitialisez Secure Boot (effacement et reconstruction des variables UEFI, liste MOK comprise) et réinstallez Windows depuis un support de démarrage externe de confiance.
4. Vérifiez et mettez à jour la liste de révocation UEFI (`dbx`). Microsoft y a ajouté peu à peu les versions vulnérables du Boot Manager après la découverte de CVE-2022-21894, mais des versions non révoquées ont pu continuer à circuler.
5. Si une investigation plus poussée est prévue, gardez un dump de la partition EFI avant de la réinitialiser.

## 5. Signalement

- Le CERT national, ou votre fournisseur d'EDR ou d'antivirus pour confirmer et documenter l'incident.
- Les IOC sont regroupés dans `blacklotus-uefi-bootkit.md` §8.

## 6. Réduire la surface d'attaque

- Gardez Windows à jour. CVE-2022-21894 est corrigée depuis janvier 2023 dans le Windows Boot Manager, mais BlackLotus dépose une copie plus ancienne de ce composant, toujours valablement signée. Le correctif ne suffit donc pas, il faut aussi une liste de révocation UEFI à jour (point 4 ci-dessus).
- Limitez les droits d'administration locale. Déposer des fichiers sur la partition EFI demande des privilèges administrateur ou une élévation préalable. Mon analyse ne couvre pas le vecteur d'accès initial utilisé pour les obtenir.
- Surveillez les modifications de la partition système EFI et de la liste MOK avec un outil de détection dédié (point 2 ci-dessus), et pas seulement avec un antivirus généraliste qui regarde le système de fichiers Windows.