Sejumlah lembaga diplomatik di kawasan Asia Tengah dilaporkan telah menjadi target serangan siber menggunakan bootkit Unified Extensible Firmware Interface (UEFI) mutakhir yang dinamai BlackX.
Operasi siber berbahaya yang secara khusus membidik berbagai entitas diplomatik di negara Tajikistan, Uzbekistan, serta Turkmenistan pada awal tahun 2026 ini, disinyalir digerakkan oleh sindikat peretas binaan negara asal Tiongkok yang kerap diidentifikasi sebagai kelompok APT41, demikian bunyi laporan teknis yang dirilis oleh Kaspersky pada pekan ini.
Target utama dari pengerahan malware tingkat lanjut ini adalah guna merusak mekanisme pertahanan saat proses booting Microsoft Windows berjalan, melumpuhkan aplikasi keamanan pihak ketiga, sekaligus mempertahankan jalur akses tersembunyi berdurasi panjang pada setiap perangkat yang telah berhasil ditembus.
Secara signifikan, bootkit BlackX dinilai para peneliti sebagai wujud modifikasi mutakhir dari BlackLotus, yaitu sebuah bootkit tersohor yang mulanya terdeteksi dipromosikan secara luas di berbagai forum kejahatan siber bawah tanah pada akhir 2022, sebelum akhirnya keberadaannya divalidasi resmi oleh ESET pada bulan Maret 2023.
Varian BlackLotus sendiri dirancang secara terencana guna mengeksploitasi celah keamanan pembobol Secure Boot yang sejatinya telah ditambal, yakni kerentanan berkode CVE-2022-21894 (dengan skor keparahan CVSS 4.4) yang jamak dijuluki Baton Drop, demi memuat rentetan kode jahat sebelum sistem operasi beroperasi seutuhnya. Kendati demikian, efektivitas eksploitasi tersebut tetap mewajibkan aktor peretas mempunyai hak akses administratif penuh atau akses fisik langsung menuju komputer target.
"Penting untuk ditekankan bahwa pemanfaatan bootkit semacam ini oleh peretas terutama difungsikan sebagai mekanisme pertahanan diri dan persistensi," jelas pihak Microsoft kala itu. "Alat ini bukanlah berkas berbahaya tahap pertama atau jalur akses awal, melainkan hanya dapat dipasang ke perangkat yang sudah berhasil dikuasai peretas lewat hak akses khusus maupun akses fisik."
Walaupun demikian, upaya menuntaskan ancaman berbahaya ini secara tuntas menuntut serangkaian tindakan tambahan selain sekadar menerapkan berkas pembaruan perangkat lunak terkini. Pengguna diwajibkan mengeksekusi langkah manual demi menerapkan mitigasi pencabutan Secure Boot milik Microsoft, misalnya dengan mendaftarkan sertifikat digital "Windows Production PCA 2011" ke dalam basis data Secure Boot UEFI Forbidden List (DBX).
Perusahaan keamanan siber terkemuka asal Rusia ini menemukan bahwa kelompok penyerang memanfaatkan kelalaian banyak organisasi yang melewatkan prosedur konfigurasi manual tersebut. Kecerobohan ini praktis membuat celah keamanan Baton Drop tetap terbuka lebar untuk dieksploitasi, kendati perangkat target sebenarnya sudah dipasangi pembaruan sistem operasi resmi dari Microsoft.
"Tepat pada tanggal 19 Oktober 2026, masa berlaku sertifikat ini memang sudah kedaluwarsa, tetapi kondisi tersebut tetap tidak mampu menghalangi berkas biner rentan untuk dieksekusi selama sertifikat terkait belum dimasukkan ke daftar blokir," terang barisan peneliti Kaspersky yang terdiri dari Georgy Kucherin, Vladimir Nestor, serta Vasily Berdnikov.
"Besar dugaan pihak aktor ancaman di balik serangan siber ini sudah memperhitungkan bahwa amat minim organisasi yang menyadari krusialnya mengaktifkan tambalan Baton Drop secara manual. Oleh sebab itu, kami meyakini peretas memilih mengalokasikan waktu demi meneliti cara kerja BlackLotus lalu merancang versi tiruan dari bootkit tersebut," lanjut para peneliti.
Penyerang terpantau mulai menyebarkan BlackX seusai berhasil menerobos pertahanan jaringan komputer korban melalui metode yang belum teridentifikasi pasti serta sukses merengkuh kendali administrator. Demi menanamkan bootkit berbahaya ini, sang aktor ancaman melepas beberapa file berkas khusus ke sistem.
Berkas pemasang tersebut kemudian dijalankan melalui baris instruksi command line dengan format "C:ProgramDataIntelinst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1," dengan teks "Q46F6MDLI3RX2KV1" bertindak sebagai kunci algoritma RC4 yang difungsikan untuk mendekripsi data.
Komponen biner tersebut lantas menyebarkan berkas pelengkap ke dalam partisi sistem serta partisi UEFI guna mengeksploitasi celah CVE-2022-21894 lewat mekanisme yang dinilai "sangat serupa" dengan cara kerja BlackLotus. Target akhirnya tetap tidak berubah: mendaftarkan Machine Owner Keys (MOK) baru demi memuat berkas EFI sewenang-wenang pada komputer terinfeksi dan mengganggu kinerja Secure Boot.
Satu hal yang memancing perhatian adalah fakta bahwa kode sumber asli kepunyaan BlackLotus sejatinya tidak pernah bocor ataupun tersebar ke domain publik. Kondisi ini mengindikasikan bahwa peretas di balik kemunculan BlackX kemungkinan besar telah melakukan rekayasa balik terhadap bootkit orisinal tersebut atau membelinya secara privat dari pihak luar.
"Bagaimanapun prosesnya, ini merupakan temuan yang sangat menarik, mengingat kami sangat jarang menjumpai aktor kelompok APT mengadopsi konsep maupun kode program milik pelaku kejahatan siber komersial," ungkap Kaspersky.
Muatan jahat UEFI yang berhasil dieksekusi pasca eksploitasi celah keamanan dirancang khusus guna menyuntikkan driver berbahaya langsung menuju inti kernel sistem operasi Windows. Driver tersebut sebelumnya telah ditandatangani menggunakan sertifikat resmi kepunyaan sebuah entitas bernama Wenjiang District Mingyu Network Technology Service Studio. Belakangan, sertifikat digital tersebut diketahui telah dicabut oleh pihak penerbit resminya.
Mirip dengan pola taktik serangan Bring Your Own Vulnerable Driver (BYOVD), komponen driver ini berusaha keras mengacaukan operasional aplikasi keamanan sistem yang aktif pada komputer korban. Lewat pendekatan unik, serangkaian manipulasi terlarang tersebut hanya dipicu jika sistem mendeteksi keberadaan program perlindungan buatan Kaspersky atau Avast. Namun demikian, analisis mendalam Kaspersky membuktikan bahwa rutinitas sabotase tersebut ternyata sama sekali tidak efektif.
Tidak sebatas mencoba melumpuhkan sistem keamanan komputer, driver jahat ini juga menyuntikkan muatan kode tingkat pengguna yang ditujukan khusus untuk aktivitas spionase siber. Terpantau terdapat dua tipe muatan berbahaya semacam itu yang berhasil diidentifikasi dalam kasus ini.
Hubungan erat antara BlackX dengan kelompok APT41 bermula dari temuan laporan investigasi ESET pada Juni 2026. Laporan itu mengungkap pemanfaatan backdoor Windows berkode SprySOCKS oleh kelompok FishMonger dalam rentetan serangan ke entitas pemerintah di Honduras, Taiwan, Thailand, dan Pakistan sepanjang 2023 hingga 2024. FishMonger, yang juga memiliki nama alias Aquatic Panda dan Earth Lusca, diyakini beroperasi di bawah naungan sindikat APT41.
Perusahaan keamanan digital asal Slowakia tersebut turut mengungkap adanya "indikasi terbatas" bahwa varian tertentu dari backdoor tersebut mengusung modul bootkit UEFI yang kemungkinan mengeksploitasi kerentanan CVE-2023-24932, yang merupakan celah pembobol proteksi lain yang terafiliasi erat dengan BlackLotus.
Titik temu krusial lainnya ditunjukkan lewat kemunculan karakter string identik "xdd" di dalam tubuh BlackX dan implan kernel yang dioperasikan FishMonger, memperkuat asumsi bahwa bootkit UEFI dalam kampanye itu adalah BlackX. Petunjuk kedua yang memperkuat jejak peretas binaan Beijing adalah pemanfaatan taktik sideloading berkas DLL guna mengeksekusi muatan jahat – pola yang tergolong amat lazim dijumpai pada operasi kelompok peretas asal Tiongkok.
"Dengan memodifikasi alat kejahatan siber komersial, kelompok ini berhasil menembus prosedur yang sengaja dibangun demi mengamankan alur booting Windows," pungkas Kucherin. "Strategi gabungan ini membuktikan bahwa penyerang tingkat tinggi tidak perlu bersusah payah menciptakan metode baru dari nol demi mempertahankan kendali yang tak terdeteksi atas infrastruktur jaringan bernilai tinggi."
