Sebuah kampanye spionase siber canggih terdeteksi menyusup ke jaringan komputer lembaga-lembaga diplomatik di Asia Tengah. Tim riset global Kaspersky (GReAT) mengungkap bahwa aktor ancaman tingkat negara berhasil menembus pertahanan paling mendasar pada sistem operasi Windows modern: fitur Secure Boot. Melalui bootkit UEFI anyar bernama BlackX, kelompok peretas yang diidentifikasi dengan tingkat keyakinan sedang sebagai APT41 menghidupkan kembali teknik pembobolan firmware yang sebelumnya dipopulerkan oleh malware komersial BlackLotus.

Insiden ini menyasar institusi diplomatik di Tajikistan, Uzbekistan, dan Turkmenistan. Hal paling mengkhawatirkan dari investigasi forensik Kaspersky bukanlah kecanggihan kode biner semata, melainkan fakta bahwa komputer target sebenarnya telah memasang seluruh pembaruan keamanan bulanan dari Microsoft secara lengkap. Penetrasi tingkat rendah ini tetap berhasil terlaksana akibat celah struktural dalam mekanisme distribusi tambalan Secure Boot, di mana Microsoft menyerahkan beban pencabutan sertifikat bermasalah kepada administrator TI secara manual.

Rekayasa Ulang Warisan BlackLotus

Nama BlackLotus sempat mengguncang dunia keamanan siber pada akhir 2022 ketika seorang peretas menjual bootkit UEFI pertama yang terbukti mampu menembus perlindungan Secure Boot pada Windows 11 seharga 5.000 dolar AS di forum bawah tanah. Sejak vendor sistem operasi merilis tambalan dan kode malware tersebut mereda, komunitas intelijen ancaman mengira ancaman bootkit tingkat rendah telah terkendali.

Namun, temuan BlackX menunjukkan lompatan baru. Pelaku spionase siber tidak lagi hanya mengandalkan perangkat pengintai di level aplikasi, melainkan meminjam dan memodifikasi cetak biru bootkit komersial. Karena kode sumber BlackLotus tidak pernah dipublikasikan secara terbuka ke publik, periset menyimpulkan dua kemungkinan: kelompok penyerang membeli kode tersebut secara privat dari lingkaran kejahatan siber bawah tanah, atau melakukan rekayasa balik menyeluruh terhadap sampel biner BlackLotus yang beredar sebelumnya. Penggabungan taktik kejahatan siber komersial ke dalam operasi spionase siber antarnegara (APT) tergolong anomali taktis yang jarang terjadi.

Rantai Pemuatan dan Penyamaran di Balik Kalkulator

Penyusupan BlackX dimulai setelah penyerang memperoleh hak akses administrator pada jaringan lokal target. Untuk menanam bootkit ke dalam partisi firmware, penyerang mengeksekusi berkas inst.exe bersama sebuah kontainer terenkripsi RC4 bernama PVMDIJGKAX2. Parameter kunci dekripsi dikirimkan langsung melalui baris perintah agar modul tidak dapat diurai secara statis di piringan cakram.

Berkas inst.exe sendiri dirancang bersih tanpa adanya string mencurigakan atau muatan biner berbahaya yang kasat mata. Seluruh komponen eksploitasi disimpan di dalam kontainer terenkripsi sebelum diekstraksi langsung ke partisi sistem dan partisi sistem EFI (Extensible Firmware Interface).

Setelah berada di lingkungan pra-boot, BlackX mengeksploitasi kerentanan Baton Drop (CVE-2022-21894). Eksploitasi ini mendaftarkan kunci pemilik mesin (Machine Owner Keys atau MOK) kustom ke dalam memori NVRAM komputer. Dengan tersimpannya kunci tersebut, firmware UEFI memperlakukan komponen jahat penyerang sebagai modul tepercaya yang sah, memberi karpet merah bagi pemuatan driver kernel tanpa memicu peringatan Secure Boot.

Driver kernel yang disuntikkan membawa tanda tangan digital valid dari entitas bernama Wenjiang District Mingyu Network Technology Service Studio—sertifikat yang kini telah dicabut oleh otoritas penerbitnya. Begitu driver aktif di ruang kernel, sistem operasi kehilangan visibilitas. Driver ini mematikan fungsi pemanggilan balik (callbacks) proses, thread, dan registri milik peranti antivirus, sekaligus mengutak-atik penyedia Event Tracing for Windows (ETW) agar produk EDR kehilangan rekaman aktivitas sistem. Dalam kode yang dianalisis, terdapat instruksi spesifik yang menargetkan produk Kaspersky dan Avast, kendati pada uji dinamis periset mendapati rutinitas anti-Kaspersky tersebut tidak efektif menonaktifkan proteksi.

Untuk melindungi eksistensinya, driver kernel menerapkan teknik pengalihan akses yang cerdik. Setiap kali ada perangkat lunak pemantau atau analis forensik yang mencoba membaca berkas biner milik bootkit di piringan, driver mencegat permintaan sistem berkas pada tingkat kernel dan mengembalikan handel berkas kalkulator sistem (calc.exe).

Infiltrasi Dua Arah: Dari Cloud Storage hingga Pemuat Rust

Setelah kendali kernel dikuasai, BlackX menurunkan muatan spionase tingkat lanjut di ruang pengguna (user-mode). Periset Kaspersky mengidentifikasi dua varian muatan sekunder yang bekerja secara paralel.

Komponen pertama adalah Trojan Akses Jarak Jauh (RAT) berbasis .NET yang memanfaatkan infrastruktur komputasi awan legal—seperti Google Drive, OneDrive, dan Yandex.Disk—sebagai peladen kendali (command-and-control atau C2). Penggunaan platform penyimpanan awan ternama membuat lalu lintas eksfiltrasi data menyatu tanpa kecurigaan dengan komunikasi bisnis normal. Agen pengintai ini membaca daftar berkas di direktori awan dan memproses perintah berdasarkan akhiran berkas, mulai dari eksekusi perintah modul 0X01, pengunggahan data 0X03, pengunduhan perkakas tambahan 0X05, hingga pengiriman telemetri awal sistem berlabel SSSR.

Komponen kedua, yang dinamai OxiDLLRunner, merupakan pustaka dinamis yang disamarkan menggunakan teknik obfuskasi OLLVM. Berkas ini dimuat lewat teknik DLL sideloading memanfaatkan proses resmi Google Update (jcef_helper.exe). Pustaka tersebut mendekripsi berkas v8_context_snapshot.bin untuk menjalankan shellcode di memori, yang kemudian meluncurkan modul berbahaya berbasis bahasa pemrograman Rust. Modul Rust ini menghubungi peladen C2 eksternal dan mengeksekusi plugin modular dinamis di utas terpisah.

Jejak Atribusi ke Kelompok APT41

Kaspersky menautkan kampanye ini ke kelompok spionase siber APT41 (dikenal juga dengan sebutan Brass Typhoon atau Wicked Panda) dengan tingkat keyakinan sedang. Sejumlah bukti forensik mengonfirmasi keterkaitan tersebut.

Struktur modul bootkit ini bersesuaian dengan laporan firma keamanan ESET pada Juni 2026 mengenai aktivitas kelompok FishMonger (sub-kelompok yang terafiliasi dengan APT41). Laporan tersebut menyebutkan adanya implan kernel dengan jalur debugging PDB yang memuat pengenal direktori "C:\Users\xdd\Desktop". String pengenal "xdd" ditemukan berulang kali di berbagai berkas muatan BlackX.

Pola pemuatan implan tingkat lanjut melalui DLL sideloading berbasis aplikasi legal yang dipadukan dengan berkas terenkripsi merupakan tanda tangan operasional khas kelompok penyerang berbahasa Mandarin. Ditambah lagi, penggunaan perkakas kompilator OLLVM secara konsisten memperkuat dugaan bahwa pelaku memiliki persenjataan perangkat lunak yang selaras dengan profil ancaman APT41.

Celah Prosedural: Mengapa Tambalan Resmi Gagal Menjaga Sistem?

Poin paling krusial dari investigasi ini terletak pada alasan mendasar mengapa target bisa terinfeksi. Kerentanan Baton Drop (CVE-2022-21894) yang dimanfaatkan BlackX sejatinya telah diidentifikasi dan ditambal oleh Microsoft sejak 2023. Komputer di kementerian diplomatik yang diserang pun telah menerapkan seluruh pembaruan keamanan bulanan Windows secara disiplin.

Kegagalan proteksi ini berakar pada paradoks penerapan tambalan Secure Boot. Celah Baton Drop terjadi karena modul boot manager lama milik Microsoft yang rentan masih ditandatangani oleh sertifikat "Windows Production PCA 2011". Untuk menutup celah secara tuntas, sertifikat tersebut harus dimasukkan ke dalam basis data pencabutan firmware (DBX).

Akan tetapi, Microsoft tidak menerapkan pencabutan tersebut secara otomatis dalam pembaruan rutin. Jika pencabutan dipaksakan sepihak oleh sistem operasi, ribuan perangkat di seluruh dunia—terutama komputer dengan konfigurasi dual-boot Linux atau sistem berbasis media pemulihan lama—berisiko mengalami kegagalan booting total (bricked atau layar biru permanen).

Konsekuensinya, Microsoft merancang tambalan ini sebagai prosedur manual multi-tahap. Administrator TI diwajibkan menyetel nilai registri khusus di bawah kunci Control\Secureboot dan mendaftarkan tugas terjadwal bernama Secure-Boot-Update untuk memicu pembaruan DBX pada papan induk. Panduan teknis ini terkubur dalam dokumentasi teknis dan praktis diabaikan oleh mayoritas pengelola infrastruktur TI enterprise, yang berasumsi bahwa instalasi patch Windows bulanan sudah otomatis menambal kerentanan.

Hingga saat ini, fase penegakan otomatis (Enforcement Phase) yang direncanakan Microsoft belum kunjung diaktifkan secara global. Kendati sertifikat Windows Production PCA 2011 telah resmi kedaluwarsa per 19 Oktober 2026, arsitektur UEFI Secure Boot tetap memvalidasi biner lama bertanda tangan sertifikat tersebut selama tanda tangan aslinya belum diblokir secara eksplisit di DBX perangkat keras.

Kesenjangan antara tambalan perangkat lunak di permukaan dan realitas penegakan firmware di tingkat perangkat keras inilah yang dimanfaatkan penyerang. Selama pengelola TI belum mengeksekusi mitigasi manual DBX pada sistem mereka, gerbang Secure Boot akan tetap terbuka bagi varian bootkit turunan Baton Drop.

Sumber https://securelist.com/uefi-bootkit-blackx/121539/

Sumber tambahan: https://www.bleepingcomputer.com/news/security/blackx-uefi-bootkit-exploits-baton-drop-flaw-to-bypass-secure-boot/