Peneliti Kaspersky GReAT melaporkan bootkit UEFI baru bernama BlackX yang mampu melewati Secure Boot di komputer Windows yang sudah terpasang semua pembaruan. Kaspersky menerbitkan analisisnya pada 22 Oktober 2026 dan mengaitkan kampanye ini dengan grup APT41 dengan tingkat keyakinan sedang. Artinya, atribusi itu masih berupa penilaian, bukan bukti pasti.
Mirip BlackLotus, dengan driver dan muatan berbeda
Kaspersky menemukan BlackX dalam serangan yang terjadi pada awal 2026. Rantai eksploitasinya sangat mirip dengan BlackLotus, bootkit yang terungkap pada 2023, tetapi kernel driver dan muatan lanjutannya berbeda. Menurut Kaspersky, penyerang kemungkinan membongkar BlackLotus lewat rekayasa balik atau memperoleh kode sumbernya.
Bootkit ini memanfaatkan celah Baton Drop (CVE-2022-21894) untuk memasukkan Machine Owner Key buatan penyerang, sehingga berkas EFI yang tidak sah bisa dimuat dan Secure Boot terlewati. Setelah itu, driver kernel yang tanda tangannya sudah dicabut dimuat ke sistem. Driver tersebut mematikan sejumlah callback produk keamanan, mengutak-atik penyedia ETW, dan menyembunyikan berkasnya dengan mengembalikan handle ke calc.exe. Sebagian kodenya sengaja menarget produk Kaspersky dan Avast, tetapi dalam uji dinamis Kaspersky, upaya itu gagal.
Dua alat mode pengguna ikut dipasang. Yang pertama adalah RAT yang berkomunikasi lewat Google Drive, OneDrive, atau Yandex.Disk. Yang kedua adalah OxiDLLRunner, pemuat DLL yang diobfuskasi dan dijalankan lewat sideloading oleh googleupdate.exe.
Korban sudah ditambal, tetapi pencabutan sertifikat tidak otomatis
Korbannya adalah jaringan diplomatik di Tajikistan, Uzbekistan, dan Turkmenistan. Penyerang lebih dulu menguasai jaringan korban dan memperoleh hak administrator sebelum memasang bootkit. Semua mesin korban menjalankan Windows yang sudah ditambal penuh. Penyebabnya, tambalan Baton Drop dari Microsoft tidak otomatis mencabut sertifikat “Windows Production PCA 2011” yang dipakai menandatangani komponen UEFI yang rentan. Langkah pencabutan itu harus diaktifkan manual oleh administrator.
Kaspersky juga mencatat bahwa tahap penegakan otomatis yang direncanakan Microsoft belum berjalan saat laporan terbit. Sertifikat itu sendiri sudah kedaluwarsa pada 19 Oktober 2026, tetapi masa berlaku yang habis tidak menghentikan bootloader rentan untuk dimuat selama sertifikatnya belum masuk daftar blokir.
Yang perlu dilakukan administrator
Administrator Windows, terutama di instansi dan perusahaan yang menjadi sasaran spionase, perlu memeriksa apakah pencabutan CVE-2022-21894 sudah diaktifkan sesuai panduan Microsoft, bukan hanya memasang pembaruan bulanan. Kaspersky juga menyarankan semua mesin dilengkapi solusi keamanan dan alert-nya dipantau. Laporan mencantumkan domain www.archivetj.com yang dipakai untuk mengambil plugin, yang layak diblokir di jaringan.
Sumber: Kaspersky Securelist, BleepingComputer. Gambar: Kaspersky Securelist