Sejumlah instansi diplomatik di kawasan Asia Tengah dilaporkan menjadi sasaran serangan siber mutakhir yang memanfaatkan bootkit Unified Extensible Firmware Interface (UEFI) generasi terbaru bernama BlackX.
Operasi siber tersebut secara khusus menyasar entitas-entitas diplomatik di wilayah Tajikistan, Uzbekistan, serta Turkmenistan pada awal tahun 2026. Berdasarkan laporan teknis yang dipublikasikan oleh pihak Kaspersky pada pekan ini, kampanye spionase siber ini diduga kuat dipimpin dan dikendalikan oleh kelompok peretas yang terafiliasi dengan negara China, yang dikenal luas sebagai APT41.
Target utama dari penyebaran perangkat perusak tingkat rendah ini adalah melumpuhkan serta merusak proteksi tahap awal booting pada sistem operasi Microsoft Windows, sekaligus menetralisir pertahanan aplikasi keamanan pihak ketiga. Melalui teknik ini, para penyerang dapat mempertahankan akses kendali jarak jauh yang sangat tersembunyi dan berdurasi panjang pada perangkat-perangkat komputer yang telah terinfeksi.
Menariknya, hasil investigasi mengungkap bahwa BlackX diyakini kuat merupakan varian mutakhir atau versi pengembangan dari BlackLotus. BlackLotus sendiri adalah bootkit UEFI berbahaya yang awalnya terdeteksi diiklankan secara terbuka di berbagai forum kejahatan siber bawah tanah pada akhir tahun 2022, sebelum ancaman dan eksistensinya diverifikasi secara resmi oleh tim peneliti ESET pada Maret 2023.
Secara arsitektural, BlackLotus dirancang untuk menyalahgunakan celah keamanan bypass Secure Boot yang sebenarnya telah memiliki tambalan resmi, yakni CVE-2022-21894 dengan skor CVSS 4.4, yang populer dengan sebutan Baton Drop. Kerentanan ini dimanfaatkan guna menyusupkan dan menjalankan instruksi kode berbahaya sebelum sistem operasi utama aktif. Kendati demikian, eksploitasi celah ini secara efektif menuntut pelaku kejahatan siber memiliki hak istimewa administrator sistem atau mempunyai akses fisik langsung ke komputer korban.
"Sangat penting untuk ditekankan bahwa pemanfaatan bootkit semacam ini oleh pelaku ancaman pada hakikatnya adalah mekanisme pertahanan diri, penghindaran deteksi, serta persistensi jangka panjang," demikian klarifikasi resmi dari Microsoft saat menanggapi ancaman serupa beberapa waktu lalu. "Perangkat perusak ini bukanlah muatan tahap awal ataupun vektor infeksi primer, melainkan hanya dapat diaktifkan pada sistem di mana peretas sebelumnya telah menguasai akses fisik secara langsung atau berhasil memperoleh hak administrator secara sah."
Dengan demikian, penanganan tuntas atas risiko ancaman siber ini tidak cukup hanya mengandalkan instalasi pembaruan keamanan bulanan standar. Pengelola sistem diwajibkan mengambil tindakan manual tambahan guna menerapkan langkah mitigasi pencabutan sertifikat Secure Boot dari Microsoft, di antaranya dengan memasukkan sertifikat digital "Windows Production PCA 2011" ke dalam Secure Boot UEFI Forbidden List atau daftar larangan DBX.
Para analis dari vendor keamanan siber asal Rusia tersebut menemukan bahwa kelompok peretas memanfaatkan fakta kelalaian organisasi target yang mengabaikan langkah konfigurasi manual ini. Situasi rentan tersebut memberi ruang bagi penyerang untuk mengeksploitasi ulang celah Baton Drop, kendati komputer target secara administratif telah terpasang paket perbaikan sistem.
"Meskipun masa berlaku sertifikat tersebut secara resmi kedaluwarsa pada 19 Oktober 2026, kondisi kedaluwarsa itu tidak serta merta menghentikan pemuatan berkas biner yang rentan selama sertifikat terkait belum dimasukkan ke daftar blokir," papar tim peneliti yang beranggotakan Georgy Kucherin, Vladimir Nestor, dan Vasily Berdnikov.
"Pelaku ancaman di balik serangan siber ini tampaknya sangat menyadari bahwa amat sedikit organisasi yang memahami krusialnya mengaktifkan tambalan Baton Drop secara manual. Atas dasar pertimbangan tersebut, kami meyakini peretas menginvestasikan waktu untuk menganalisis cara kerja BlackLotus lalu merekayasa ulang salinan dari bootkit canggih tersebut."
Dalam serangkaian insiden, penyusup terpantau menanamkan berkas instalasi BlackX usai menjebol pertahanan perimeter jaringan korban lewat teknik yang tidak dijelaskan secara spesifik, hingga berhasil menggenggam kendali berstatus administrator. Untuk meluncurkan instalasi bootkit ke dalam sistem, kelompok peretas mendistribusikan berkas-berkas perusak tertentu.
Proses instalasi kemudian dieksekusi secara otomatis melalui instruksi baris perintah bernilai "C:ProgramDataIntelinst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1", dengan rangkaian karakter "Q46F6MDLI3RX2KV1" bertindak sebagai kunci algoritma RC4 yang diperlukan untuk mendekripsi berkas sistem.
Berkas biner yang dieksekusi selanjutnya mendistribusikan muatan tambahan ke partisi sistem Windows sekaligus partisi UEFI untuk mengeksploitasi CVE-2022-21894 melalui alur kerja yang luar biasa identik dengan pola serangan BlackLotus asli. Sasaran akhirnya tetap serupa: mendaftarkan Machine Owner Keys (MOK) ilegal demi mengeksekusi berkas EFI pihak ketiga tanpa izin dan menonaktifkan validasi Secure Boot.
Hal yang menjadi perhatian besar para pakar intelijen ancaman adalah fakta bahwa kode sumber asli BlackLotus tidak pernah bocor ke ranah publik. Realitas ini mengindikasikan bahwa kelompok penyerang di balik BlackX telah berhasil melakukan rekayasa balik terhadap kode biner bootkit tersebut secara mandiri atau membelinya secara khusus dari sindikat lain.
"Bagaimanapun metode perolehannya, ini merupakan fenomena yang sangat menarik dicermati, mengingat kelompok ancaman spionase tingkat tinggi (APT) sangat jarang meniru ide rancangan maupun mengadopsi kode dari pelaku kejahatan komersial biasa," tegas pihak analis Kaspersky dalam kajiannya.
Setelah celah keamanan berhasil ditembus, muatan UEFI yang disusupkan segera menginjeksi driver berbahaya langsung ke tingkat kernel sistem operasi Windows. Komponen driver ini didapati menyandang tanda tangan digital yang diatribusikan kepada entitas bisnis bernama Wenjiang District Mingyu Network Technology Service Studio. Sertifikat digital penandatangan tersebut saat ini telah dicabut secara permanen oleh pihak otoritas penerbit.
Mirip dengan pola serangan berkonsep Bring Your Own Vulnerable Driver (BYOVD), modul driver ini berupaya memanipulasi dan melemahkan fungsi operasional program keamanan titik akhir yang terpasang di komputer target. Fakta unik yang terungkap dari analisis teknis menunjukkan bahwa sebagian instruksi sabotase hanya dijalankan apabila sistem memuat perangkat lunak pengaman buatan Kaspersky atau Avast. Kendati dirancang demikian, pengujian Kaspersky mendapati bahwa rutin gangguan pertahanan tersebut terbukti tidak berjalan efektif.
Tidak hanya berupaya melumpuhkan perangkat lunak antivirus, driver tingkat rendah ini juga mengeksekusi muatan tingkat pengguna (user-mode) yang difungsikan khusus sebagai instrumen spionase dunia maya. Tim peneliti berhasil mendokumentasikan dua varian muatan berbahaya yang beroperasi di lingkungan sistem korban.
Hubungan erat antara BlackX dan jaringan peretas APT41 semakin diperkuat oleh temuan investigasi ESET pada Juni 2026. Laporan tersebut mencatat aktivitas grup peretas FishMonger yang memanfaatkan backdoor Windows berjuluk SprySOCKS untuk menyerang instansi-instansi pemerintahan di kawasan Honduras, Taiwan, Thailand, serta Pakistan sepanjang kurun waktu 2023 hingga 2024. FishMonger, yang juga kerap diidentifikasi dengan nama samaran Aquatic Panda atau Earth Lusca, secara konsisten diklasifikasikan beroperasi di bawah payung komando sindikat APT41.
Perusahaan riset keamanan siber asal Slowakia tersebut turut melaporkan adanya petunjuk terbatas yang mengindikasikan varian tertentu dari pintu belakang tersebut memuat komponen bootkit UEFI yang menyalahgunakan CVE-2023-24932, yakni celah bypass proteksi lain yang juga berakar pada metode BlackLotus.
Titik temu yang sangat mencolok lainnya mencakup kemunculan baris teks bertuliskan "xdd" pada tubuh malware BlackX dan implan kernel yang dioperasikan FishMonger, yang memperkuat dugaan bahwa bootkit UEFI yang dipakai dalam kampanye-kampanye spionase tersebut sesungguhnya merupakan BlackX. Indikasi kedua yang kian menegaskan keterkaitan dengan peretas binaan China adalah adopsi teknik DLL sideloading untuk meluncurkan muatan biner—sebuah taktik penyusupan yang menjadi ciri khas kelompok mata-mata siber asal Negeri Tirai Bambu.
"Dengan memodifikasi perangkat lunak jahat komersial yang sudah beredar di pasar gelap, kelompok ini mampu membobol mekanisme yang dirancang untuk melindungi proses inisiasi boot Windows," pungkas Kucherin. "Penggabungan taktik hibrida semacam ini membuktikan bahwa penyerang tingkat tinggi tidak perlu bersusah payah menciptakan metode baru dari nol demi mengukuhkan kendali tak kasat mata jangka panjang pada jaringan-jaringan bernilai strategis."
