Tim riset Kaspersky GReAT melaporkan bootkit UEFI baru bernama BlackX yang mampu melewati Secure Boot pada komputer Windows yang pembaruannya sudah lengkap. Laporan itu terbit di Securelist pada 22 Oktober 2026, lalu diulas BleepingComputer pada 24 Oktober. Kaspersky pertama kali menemukan sampel BlackX pada awal 2026.
BlackX memanfaatkan celah lama bernama Baton Drop (CVE-2022-21894). Celah yang sama dipakai BlackLotus, bootkit yang diiklankan di forum peretas sejak Oktober 2022 dan dikonfirmasi ESET pada Maret 2023 bisa menembus Windows 11 yang sudah ditambal. Menurut BleepingComputer, pembuat BlackX kemungkinan membongkar ulang BlackLotus atau membeli kode sumbernya.
Sasaran lembaga diplomatik di Asia Tengah
Kaspersky menemukan BlackX di jaringan lembaga diplomatik di Tajikistan, Uzbekistan, dan Turkmenistan. Para peneliti mengaitkan serangan ini dengan kelompok APT41, tetapi dengan tingkat keyakinan sedang. Dasarnya antara lain kemiripan dengan laporan ESET tentang kelompok FishMonger, teknik DLL sideloading dengan berkas terenkripsi, dan obfuskasi OLLVM.
Menurut laporan Kaspersky, penyerang lebih dulu memperoleh hak administrator di jaringan korban sebelum memasang bootkit. Setelah aktif, BlackX memuat driver kernel berbahaya yang mematikan proses keamanan dan melindungi berkas bootkit. Driver itu ditandatangani dengan sertifikat yang kini sudah dicabut penerbitnya. Ada pula trik yang tidak biasa: siapa pun yang mencoba membuka berkas BlackX justru akan melihat aplikasi Kalkulator Windows muncul.
Tahap berikutnya memasang dua muatan. Pertama, trojan akses jarak jauh (RAT) yang memakai Google Drive, OneDrive, dan Yandex.Disk sebagai saluran kendali. Kedua, pemuat bernama OxiDLLRunner. Sebagian aksi sabotase hanya berjalan bila komputer korban memakai produk Kaspersky atau Avast, meski Kaspersky menyatakan upaya itu tidak berpengaruh pada produknya.
Mengapa sistem yang sudah ditambal tetap jebol
Masalahnya ada pada cara Microsoft menutup Baton Drop. Perbaikannya dirancang untuk mencabut sertifikat Windows Production PCA 2011, tetapi pencabutan itu tidak berjalan otomatis. Administrator harus memicunya sendiri, dan fase penegakan otomatis yang direncanakan Microsoft belum diterapkan saat laporan Kaspersky terbit.
Sertifikat tersebut memang sudah kedaluwarsa pada 19 Oktober 2026. Namun para peneliti menegaskan bahwa boot manager yang rentan tetap bisa dimuat selama sertifikat itu belum dimasukkan ke daftar blokir.
Yang perlu dilakukan admin
Kaspersky menyarankan admin memasang pembaruan Baton Drop, lalu menyelesaikan pencabutan sertifikat PCA 2011 secara manual sesuai panduan Microsoft tentang pencabutan boot manager Windows yang rentan. Setelah itu, admin perlu memastikan sertifikat benar-benar sudah terblokir dan memantau indikator kompromi yang dicantumkan di laporan Securelist. Kedua sumber tidak menyebut versi Windows tertentu. Semua korban yang dianalisis menjalankan Windows dengan pembaruan lengkap.
Bagi instansi dan perusahaan di Indonesia yang mengelola banyak komputer Windows, status pencabutan sertifikat ini layak dicek sekarang. Pembaruan bulanan saja tidak menutup jalur yang dipakai BlackX.
Sumber: Kaspersky Securelist, BleepingComputer, Microsoft Tech Community. Gambar: Kaspersky Securelist
Tinggalkan Balasan