Sejumlah lembaga diplomatik di kawasan Asia Tengah dilaporkan telah menjadi target serangan peretasan tingkat lanjut yang memanfaatkan bootkit Unified Extensible Firmware Interface (UEFI) mutakhir bernama BlackX.
Aktivitas kejahatan siber yang menyasar kantor-kantor perwakilan diplomatik di Tajikistan, Uzbekistan, serta Turkmenistan sepanjang awal tahun 2026 ini dicurigai dimotori oleh sindikat peretas binaan pemerintah China bernama APT41, sebagaimana diungkapkan Kaspersky dalam sebuah laporan teknis yang dirilis pekan ini.
Tujuan mendasar dari pemasangan perangkat perusak berbahaya ini adalah untuk merusak mekanisme pertahanan proses booting pada Microsoft Windows serta melumpuhkan aplikasi keamanan pihak ketiga, sembari mempertahankan kendali jarak jauh yang tersembunyi secara permanen pada perangkat-perangkat target.
Secara teknis, BlackX diyakini kuat sebagai bentuk pembaruan langsung dari BlackLotus, varian bootkit bereputasi buruk yang awalnya dipromosikan di berbagai forum kejahatan siber pada penghujung tahun 2022 sebelum keberadaannya dipastikan secara ilmiah oleh perusahaan keamanan ESET pada bulan Maret 2023.
Program jahat BlackLotus dirancang khusus guna memanfaatkan celah keamanan pembobol Secure Boot berkode CVE-2022-21894 (skor CVSS: 4.4), yang lebih populer dengan sebutan Baton Drop, demi memuat skrip berbahaya sebelum sistem operasi komputer mulai dijalankan. Kendati demikian, efektivitas eksploitasi ini sepenuhnya bergantung pada kepemilikan hak akses tingkat administrator atau kontrol fisik langsung dari penyerang terhadap sistem komputer yang diincar.
"Penting untuk dipahami bahwa penerapan bootkit semacam ini oleh pelaku ancaman siber berperan utama sebagai sarana persistensi dan teknik penghindaran deteksi keamanan," jelas Microsoft pada masa itu. "Alat ini bukanlah berkas tahap awal dan bukan vektor penyusupan awal, melainkan hanya bisa diaktifkan pada sistem komputer yang telah berhasil dikuasai penyerang melalui hak akses khusus atau akses fisik langsung."
Meskipun demikian, penyelesaian ancaman siber tersebut secara menyeluruh memerlukan tindakan pengamanan ekstra di luar pemasangan paket pembaruan perangkat lunak berkala. Administrator diharuskan menjalankan instruksi manual untuk memberlakukan mitigasi pencabutan Secure Boot terbitan Microsoft, salah satunya mencakup registrasi sertifikat "Windows Production PCA 2011" ke dalam daftar blokir UEFI yang dikenal sebagai Secure Boot UEFI Forbidden List (DBX).
Firma keamanan digital asal Rusia tersebut menemukan fenomena bahwa para pelaku peretasan dengan cermat memanfaatkan kelalaian banyak korporasi maupun organisasi yang belum merealisasikan langkah-langkah manual ini, sehingga memungkinkan kerentanan Baton Drop tetap bisa dieksploitasi dengan leluasa kendati sistem komputer telah menerima "patch" keamanan resmi.
"Tepat pada tanggal 19 Oktober 2026, masa berlaku sertifikat tersebut resmi kedaluwarsa, tetapi situasi ini sama sekali tidak menghalangi berkas biner rentan untuk dimuat terkecuali sertifikat tersebut telah dimasukkan ke daftar hitam," tutur jajaran peneliti yang terdiri atas Georgy Kucherin, Vladimir Nestor, serta Vasily Berdnikov.
"Besar kemungkinan aktor kejahatan di balik serangan ini memperhitungkan kenyataan bahwa segelintir organisasi saja yang menyadari signifikansi penerapan perbaikan Baton Drop secara mandiri. Berdasarkan hal itu, kami meyakini mereka memutuskan mendedikasikan waktu guna memahami cara kerja BlackLotus lalu mereplikasi bootkit tersebut ke dalam versi tiruan."
Para aktor peretas terdeteksi mulai menyebarkan BlackX sesudah sukses membobol jaringan korporat para korban menggunakan metode yang belum diketahui secara pasti dan berhasil merebut kendali penuh setara administrator. Untuk memasang bootkit itu, aktor ancaman menjatuhkan beberapa berkas instalasi penting ke sistem.
Program installer itu selanjutnya dieksekusi melalui baris perintah berupa "C:ProgramDataIntelinst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1," di mana parameter "Q46F6MDLI3RX2KV1" bertindak sebagai kunci sandi algoritma RC4 yang dibutuhkan dalam proses dekripsi berkas.
Modul biner bersangkutan berikutnya meletakkan berkas-berkas tambahan ke dalam partisi sistem serta partisi UEFI guna mengeksploitasi kelemahan CVE-2022-21894 dengan prosedur yang "sangat serupa" seperti mekanisme yang diterapkan oleh BlackLotus. Tujuan akhirnya tetap tidak berubah: mendaftarkan Machine Owner Keys (MOK) demi mengeksekusi berkas-berkas EFI secara sewenang-wenang pada komputer target sekaligus merusak keandalan fitur Secure Boot.
Hal yang sangat menarik perhatian adalah fakta bahwa kode sumber orisinal BlackLotus tidak pernah bocor atau dipublikasikan secara terbuka kepada khalayak umum. Temuan tersebut mengindikasikan bahwa para pengembang di balik BlackX kemungkinan besar telah merekayasa balik bootkit aslinya atau membeli lisensi kode sumber tersebut dari pihak perantara.
"Bagaimanapun caranya, temuan ini memberikan observasi yang memikat karena kami jarang sekali menyaksikan kelompok APT mengadopsi konsep maupun kode program milik pelaku kejahatan siber konvensional," papar Kaspersky.
Muatan jahat UEFI yang berhasil dieksekusi pasca-eksploitasi celah dirancang secara spesifik guna menyuntikkan sebuah driver berbahaya ke tingkatan kernel sistem operasi Windows. Driver tersebut teridentifikasi telah dibubuhi tanda tangan sertifikat digital milik entitas usaha bernama Wenjiang District Mingyu Network Technology Service Studio. Kini, legalitas sertifikat itu sudah resmi dicabut oleh otoritas penerbit.
Sama halnya dengan serangan bergaya bring your own vulnerable driver (BYOVD), driver ini berusaha memanipulasi serta mengacaukan operasional aplikasi perlindungan endpoint yang terpasang pada perangkat. Terdapat keunikan dalam modifikasi tanpa izin tersebut, di mana instruksi hanya dipicu untuk berjalan apabila ditemukan sistem proteksi yang terhubung dengan Kaspersky atau Avast. Kendati demikian, telaah mendalam tim Kaspersky menegaskan bahwa rutinitas perusakan tersebut terbukti tidak efektif.
Selain berusaha keras melumpuhkan fungsi perangkat lunak keamanan, driver berbahaya ini juga menyuntikkan muatan kode user-mode yang didedikasikan untuk misi spionase siber. Peneliti mencatat adanya dua bentuk berkas muatan terpisah yang dimanfaatkan.
Korelasi operasional antara BlackX dan kelompok APT41 berpijak pada laporan investigasi ESET tertanggal Juni 2026 yang mendokumentasikan pemanfaatan backdoor Windows bernama SprySOCKS oleh kluster FishMonger dalam gelombang serangan terhadap institusi pemerintah di Honduras, Taiwan, Thailand, serta Pakistan sepanjang 2023 hingga 2024. FishMonger, yang juga dikenali dengan identitas Aquatic Panda maupun Earth Lusca, dikategorikan berada di bawah naungan kelompok peretas APT41.
Entitas keamanan siber asal Slovakia tersebut turut mengemukakan adanya "indikasi terbatas" bahwa sejumlah varian backdoor memiliki modul bootkit UEFI tambahan yang disinyalir kuat mengeksploitasi celah CVE‑2023‑24932, yaitu kerentanan bypass keamanan lain yang terafiliasi dengan riwayat BlackLotus.
Keterkaitan menarik lainnya adalah ditemukannya string teks "xdd" di dalam susunan BlackX dan implan kernel yang dioperasikan FishMonger, yang memperkuat dugaan bahwa bootkit UEFI dalam insiden sebelumnya adalah BlackX itu sendiri. Petunjuk kedua yang mempertegas keterlibatan sindikat peretas terafiliasi China ialah pengaplikasian metode DLL sideloading untuk meluncurkan muatan jahat, sebuah taktik khas yang sudah sangat lumrah dipraktikkan oleh para peretas yang berasal dari China.
"Dengan memodifikasi perangkat kejahatan komersial yang sudah beredar, kelompok ini mampu membobol serangkaian prosedur yang dirancang khusus untuk memproteksi proses booting Windows," pungkas Kucherin. "Pendekatan hibrida ini memperlihatkan bahwa lawan yang canggih tidak harus menciptakan roda baru dari awal demi menancapkan kendali permanen yang tak kasat mata di dalam infrastruktur jaringan bernilai tinggi."
About the Author
