Bootkit UEFI BlackX Eksploitasi Celah Lama Baton Drop untuk Membobol Secure Boot

Sebuah bootkit UEFI baru bernama BlackX, yang dikerahkan dalam kampanye spionase siber pada awal tahun 2026, diketahui mengeksploitasi kerentanan lama Baton Drop untuk membobol perlindungan Secure Boot dan memuat driver berbahaya yang dirancang khusus guna melumpuhkan solusi keamanan dari Kaspersky dan Avast.

Operasi serangan ini dikaitkan dengan tingkat keyakinan menengah (medium confidence) kepada APT41, kelompok ancaman bersponsor negara Tiongkok yang juga dikenal dengan berbagai alias seperti Brass Typhoon, Wicked Panda, dan Barium. Target utama dari kampanye ini adalah instansi-instansi diplomatik di wilayah Asia Tengah, khususnya di Tajikistan, Uzbekistan, dan Turkmenistan.

Para peneliti keamanan dari Kaspersky yang menganalisis bootkit BlackX menemukan adanya kemiripan yang mencolok dengan BlackLotus—sebuah bootkit terkenal yang telah beredar di forum-forum peretas sejak Oktober 2022 dan memanfaatkan celah kerentanan Baton Drop (CVE-2022-21894) untuk mem-bypass Secure Boot. Perusahaan keamanan ESET sebelumnya telah mengonfirmasi pada Maret 2023 bahwa BlackLotus bahkan sanggup mengkompromikan sistem Windows 11 yang telah ditambal sepenuhnya.

Menurut Kaspersky, implementasi eksploitasi pada BlackX “sangat mirip” dengan yang digunakan oleh BlackLotus, di mana penyerang dapat mendaftarkan Machine Owner Keys (MOK) kustom dan memuat berkas EFI arbitrer untuk melewati proteksi Secure Boot. Kendati demikian, BlackX menggunakan kernel driver serta payload lanjutan yang berbeda, yang mengindikasikan bahwa BlackX kemungkinan dikembangkan melalui teknik reverse-engineering terhadap BlackLotus atau bersumber dari kode dasarnya yang sempat bocor secara tidak lengkap pada Juli 2023.

Kapabilitas dan Mekanisme Spionase BlackX

BlackX bekerja dengan cara menginjeksikan kernel driver Windows berbahaya yang ditandatangani menggunakan sertifikat resmi yang kini telah dicabut. Sertifikat tersebut sebelumnya diterbitkan atas nama entitas bernama Wenjiang District Mingyu Network Technology Service Studio.

Driver tersebut berfungsi untuk menonaktifkan berbagai proses yang berkaitan dengan keamanan serta registry callbacks, sekaligus mengganggu penyedia Event Tracing for Windows (ETW) guna menyembunyikan aktivitas jahat dari pantauan sistem.

Menariknya, beberapa prosedur gangguan ini dikonfigurasi agar hanya berjalan jika produk antivirus dari Kaspersky atau Avast terdeteksi pada perangkat korban. Selain itu, driver tersebut juga melindungi berkas-berkas bootkit itu sendiri dengan mencegat permintaan pengguna untuk membuka direktori terkait dan justru meluncurkan aplikasi Windows Calculator sebagai bentuk pengalihan.

Selain manipulasi sistem, BlackX dirancang untuk menyebarkan sejumlah payload spionase pada mesin yang terinfeksi:

• RAT (Remote Access Trojan): Memanfaatkan layanan cloud seperti Google Drive, OneDrive, atau Yandex.Disk sebagai infrastruktur Command-and-Control (C2) untuk mengeksekusi payload .NET serta mengunggah dan mengunduh berkas.
• OxiDLLRunner: Sebuah DLL yang di-obfuscated menggunakan OLLVM dan dimuat secara sideload melalui googleupdate.exe. Modul ini mendekripsi berkas v8_context_snapshot.bin untuk meluncurkan shellcode serta payload berbasis bahasa Rust, yang kemudian mengunduh plugin DLL tambahan dari domain archivetj[.]com untuk dieksekusi dalam thread terpisah.

Celah Mitigasi dan Lemahnya Proses Penambalan

Temuan yang paling mengkhawatirkan dari analisis ini adalah fakta bahwa seluruh korban BlackX sebenarnya menggunakan sistem operasi Windows yang telah diperbarui sepenuhnya. Namun, bootkit tersebut tetap berhasil mengeksekusi serangannya karena para administrator jaringan gagal mengaktifkan pencabutan (revocations) sertifikat Secure Boot tambahan secara manual.

“Tambalan untuk kerentanan Baton Drop dirancang untuk mencabut sertifikat ‘Windows Production PCA 2011’ yang digunakan untuk menandatangani komponen UEFI yang rentan,” jelas pihak Kaspersky. “Namun, pencabutan ini tidak terjadi secara otomatis saat instalasi tambalan—pengguna harus memicunya secara manual.”

Para peneliti menilai prosedur manual ini sebagai celah besar dalam manajemen pembaruan keamanan, mengingat sangat jarang administrator sistem yang mengambil tindakan lanjutan secara manual setelah memasang pembaruan perangkat lunak reguler. Para penyerang memanfaatkan celah mitigasi inilah yang memotivasi mereka untuk mempelajari cara kerja BlackLotus dan mengembangkan varian bootkit mandiri.

Sumber: Kaspersky