Sejumlah korps diplomatik di kawasan Asia Tengah dilaporkan telah menjadi sasaran empuk serangan perangkat perusak canggih berjenis Unified Extensible Firmware Interface (UEFI) bootkit yang diberi nama BlackX.
Aksi siber yang secara khusus menargetkan entitas perwakilan diplomatik di Tajikistan, Uzbekistan, serta Turkmenistan pada awal tahun 2026 ini dicurigai dimotori oleh komplotan peretas kenegaraan yang berafiliasi dengan China, yaitu kelompok APT41, sebagaimana diungkapkan oleh Kaspersky dalam rilis laporan teknis mereka pekan ini.
Tujuan fundamental di balik penyusupan kode jahat ini yaitu melumpuhkan mekanisme pertahanan awal pada proses booting sistem operasi Microsoft Windows sekaligus menumbangkan program keamanan pihak ketiga, sembari mempertahankan akses rahasia jangka panjang pada perangkat-perangkat yang telah berhasil dikompromikan.
Sangat menarik untuk digarisbawahi bahwa BlackX dinilai kuat merupakan versi modifikasi atau pembaruan dari BlackLotus, sebuah bootkit legendaris yang mulanya terdeteksi dipromosikan di berbagai forum kejahatan siber bawah tanah pada pengujung 2022, sebelum eksistensi nyatanya divalidasi resmi oleh ESET pada Maret 2023.
BlackLotus sengaja dirancang guna mengeksploitasi celah keamanan pembobolan Secure Boot yang kini sejatinya telah ditambal, yakni kerentanan berkode CVE-2022-21894 (skor CVSS: 4.4) atau populer dikenal dengan sebutan Baton Drop, demi mengeksekusi kode perusak sebelum sistem operasi sempat aktif. Kendati demikian, kesuksesan eksploitasi celah tersebut sangat bergantung pada kepemilikan hak akses administrator atau penguasaan fisik secara langsung terhadap komputer korban.
"Penting untuk ditekankan bahwa pemanfaatan bootkit oleh pelaku ancaman pada dasarnya merupakan mekanisme pertahanan persistensi dan penghindaran deteksi," catat Microsoft pada saat itu. "Ini bukan payload tahap awal ataupun vektor akses pertama, dan hanya bisa dipasang ke perangkat di mana peretas telah berhasil mengantongi hak akses istimewa maupun kontrol fisik."
Kendati tambalan sudah tersedia, penanganan tuntas terhadap potensi ancaman ini memerlukan langkah-langkah penanganan komprehensif tambahan di luar pembaruan berkala sistem, termasuk penerapan konfigurasi manual guna mengaktifkan mitigasi pencabutan Secure Boot besutan Microsoft, semacam memasukkan sertifikat "Windows Production PCA 2011" ke dalam daftar terlarang Secure Boot UEFI Forbidden List (DBX).
Pakar keamanan siber dari Rusia tersebut menyingkap fakta bahwa gerombolan penyerang sengaja memanfaatkan kelalaian banyak instansi yang belum merampungkan prosedur manual tersebut, alhasil memungkinkan mereka mengeksploitasi kembali celah Baton Drop kendati status perangkat telah dipasangi "patch" pengaman.
"Pada 19 Oktober 2026, sertifikat ini telah kedaluwarsa, tetapi kondisi ini tetap tidak menghalangi pemuatan biner yang rentan kecuali sertifikat tersebut secara eksplisit dimasukkan ke daftar blokir," papar para peneliti Kaspersky, Georgy Kucherin, Vladimir Nestor, serta Vasily Berdnikov.
"Sangat mungkin bahwa pelaku ancaman di balik kampanye ini telah memperhitungkan betapa jarangnya organisasi yang menyadari krusialnya mengaktifkan tambalan Baton Drop secara manual. Atas dasar itulah, kami meyakini mereka memutuskan mengalokasikan waktu untuk membedah cara kerja BlackLotus lalu merancang versi tiruan dari bootkit tersebut."
Para pelaku kejahatan siber terpantau meluncurkan BlackX seusai berhasil menembus infrastruktur jaringan korban lewat kanal yang belum teridentifikasi pasti serta menguasai hak administratif penuh. Demi menanamkan bootkit tersebut ke sistem target, peretas menaruh rentetan berkas penginstal –
Program pemasang kemudian dipicu eksekusinya melewati antarmuka baris perintah command line: "C:ProgramDataIntelinst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1," dengan teks "Q46F6MDLI3RX2KV1" bertindak selaku kunci enkripsi RC4 yang dipakai untuk membedah muatan terenkripsi.
Biner yang berjalan tersebut selanjutnya menggelontorkan berkas-berkas tambahan ke partisi sistem sekaligus partisi UEFI dengan skema eksploitasi CVE-2022-21894 yang terbilang "luar biasa identik" dengan mekanisme bawaan BlackLotus. Target pamungkasnya tidak berubah: menyuntikkan Machine Owner Keys (MOK) agar sanggup memuat berkas EFI sembarangan pada mesin terinfeksi serta merusak keandalan proteksi Secure Boot.
Hal yang memantik rasa penasaran dari insiden ini adalah fakta bahwa kode sumber murni BlackLotus sejatinya belum pernah tersebar bebas di domain publik. Temuan ini mengindikasikan bahwa dalang peretasan BlackX antara berhasil merekayasa balik (reverse-engineering) perangkat perusak orisinal tersebut atau membelinya secara privat dari pihak lain.
"Apa pun jalurnya, ini merupakan sebuah pengamatan yang sangat menarik, mengingat kami sangat jarang menjumpai aktor APT mengadopsi ide maupun kode pemrograman dari ekosistem kejahatan siber komersial," tutur Kaspersky.
Muatan jahat UEFI yang berhasil mendarat usai pembobolan celah keamanan tersebut dirancang untuk menyusupkan driver perusak ke jantung kernel Windows. Driver tersebut telah dibubuhi tanda tangan sertifikat digital milik badan usaha bernama Wenjiang District Mingyu Network Technology Service Studio, meski kini sertifikat bersangkutan telah resmi dicabut oleh otoritas penerbitnya.
Meniru skema serangan bring your own vulnerable driver (BYOVD), pengemudi liar ini berusaha memanipulasi sekaligus mengacaukan operasional peranti lunak proteksi endpoint yang bercokol di komputer korban. Menariknya lagi, serangkaian manipulasi terlarang ini diprogram hanya aktif apabila peranti lunak keamanan dari Kaspersky atau Avast ditemukan beroperasi di dalam perangkat. Walaupun demikian, audit teknis Kaspersky mengonfirmasi bahwa rutinitas perusakan tersebut terbukti tidak efektif bekerja.
Tak puas sekadar mencoba melumpuhkan aplikasi penjaga sistem, komponen driver ini pun turut menggelontorkan muatan payload mode pengguna (user-mode) yang ditujukan untuk aksi spionase siber. Peneliti menemukan dua jenis muatan berbahaya semacam itu –
Tautan benang merah yang mengaitkan BlackX dengan sindikat APT41 berakar pada laporan investigasi ESET edisi Juni 2026. Laporan itu membongkar bagaimana grup FishMonger memanfaatkan backdoor Windows bernama SprySOCKS dalam rentetan infiltrasi yang menyasar lembaga-lembaga pemerintahan di Honduras, Taiwan, Thailand, dan Pakistan sepanjang 2023 hingga 2024. FishMonger, yang juga diidentifikasi sebagai Aquatic Panda dan Earth Lusca, diyakini beroperasi di bawah payung komando APT41.
Entitas keamanan siber asal Slovakia tersebut turut mengemukakan adanya "indikasi terbatas" bahwa segelintir varian dari backdoor tersebut kemungkinan memuat komponen bootkit UEFI yang mengeksploitasi celah CVE-2023-24932, yakni celah bypass proteksi keamanan lain yang bertaut erat dengan BlackLotus.
Tumpang tindih data teknis yang sangat memikat adalah kemunculan string "xdd" di tubuh BlackX serta modul implant kernel milik FishMonger, memperkuat spekulasi bahwa bootkit UEFI yang dipakai dalam kampanye-kampanye silam tiada lain merupakan BlackX. Indikator sekunder yang semakin menunjuk peretas afiliasi China adalah pemakaian teknik DLL sideloading untuk memasang muatan jahat – sebuah kebiasaan taktik yang teramat lazim digunakan oleh kelompok-kelompok penyerang asal Tiongkok.
"Dengan memodifikasi perangkat crimeware komersial, kelompok ini dapat menembus protokol yang dirancang khusus untuk memproteksi siklus booting pada Windows," jelas Kucherin. "Pendekatan hibrida semacam ini membuktikan bahwa musuh berteknologi canggih tidak perlu bersusah payah menciptakan roda baru untuk menancapkan kontrol permanen tak kasat mata di dalam jaringan-jaringan bernilai tinggi."
