Sejumlah lembaga diplomatik di kawasan Asia Tengah dilaporkan menjadi target serangan siber menggunakan bootkit Unified Extensible Firmware Interface (UEFI) mutakhir yang dinamai BlackX.

Operasi siber berbahaya yang secara khusus membidik entitas diplomatik di negara Tajikistan, Uzbekistan, dan Turkmenistan pada awal tahun 2026 ini dicurigai digerakkan oleh komplotan peretas kenegaraan yang terafiliasi dengan pihak Tiongkok, yaitu APT41. Temuan teknis mendalam tersebut diungkapkan secara resmi oleh perusahaan keamanan siber Kaspersky dalam publikasi laporan terbarunya pada pekan ini.

Maksud pokok dari penyebaran malware tingkat tinggi ini yaitu melumpuhkan mekanisme proteksi awal pada sistem operasi Microsoft Windows, sekaligus mengelabui piranti pertahanan pihak ketiga. Peretas berupaya mempertahankan cengkeraman akses tersembunyi yang berjangka waktu panjang terhadap perangkat-perangkat penting yang berhasil disusupi.

Perlu diperhatikan, BlackX diidentifikasi sebagai varian mutakhir hasil modifikasi dari BlackLotus, sebuah bootkit legendaris yang awal mulanya ditemukan diperjualbelikan di berbagai forum kejahatan siber bawah tanah pada akhir 2022, sebelum eksistensinya dikonfirmasi oleh firma ESET pada bulan Maret 2023.

Piranti BlackLotus dirancang secara khusus guna menyalahgunakan kelemahan bypass Secure Boot yang sudah ditambal dengan kode CVE-2022-21894 (skor CVSS: 4.4), yang dikenal sebagai Baton Drop. Celah ini memfasilitasi injeksi muatan berbahaya tepat sebelum sistem operasi utama aktif. Kendati demikian, eksekusi eksploitasi tersebut membutuhkan hak akses administrator penuh atau akses fisik langsung ke komputer korban.

"It is critical to note that a threat actor’s use of this bootkit is primarily a persistence and defense evasion mechanism," tegas pihak Microsoft pada masa penemuan awal. "It is not a first-stage payload or an initial access vector and can only be deployed to a device to which a threat actor has already gained either privileged access or physical access."

Walaupun pembaruan resmi telah dirilis, pemulihan menyeluruh terhadap risiko ancaman ini menuntut langkah teknis tambahan melampaui instalasi patch biasa. Pengelola sistem diwajibkan mengaplikasikan instruksi mitigasi pencabutan Secure Boot dari Microsoft secara manual, salah satunya memasukkan sertifikat digital "Windows Production PCA 2011" ke daftar terlarang Secure Boot UEFI Forbidden List (DBX).

Entitas riset keamanan asal Rusia tersebut menemukan bahwa kelompok pelaku secara cerdik memanfaatkan kelalaian banyak organisasi yang tidak menuntaskan prosedur manual itu. Kelemahan prosedur ini mengakibatkan kerentanan Baton Drop tetap bisa dieksploitasi oleh aktor jahat meskipun sistem target sudah mengaplikasikan pembaruan keamanan.

"On October 19, 2026, this certificate expired, but this does not prevent the vulnerable binaries from loading unless the certificate is blocklisted," ungkap tim peneliti yang beranggotakan Georgy Kucherin, Vladimir Nestor, serta Vasily Berdnikov.

"It is likely that the threat actor behind this campaign took into account that few organizations realized the importance of manually activating the Baton Drop patch. As such, we believe they decided to invest time in understanding how BlackLotus works and creating a copycat of this bootkit," tambah mereka menerangkan kalkulasi taktis musuh.

Berdasarkan pantauan forensik, peretas menyusupkan BlackX setelah mereka sukses membobol jaringan target melalui sarana yang belum teridentifikasi dan sukses mengamankan kendali administrator. Guna mengimplementasikan bootkit tersebut, aktor penyusup memuntahkan sejumlah file tertentu ke perangkat korban.

Proses instalasi dieksekusi melalui baris perintah bertuliskan "C:ProgramDataIntelinst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1", dengan deretan string "Q46F6MDLI3RX2KV1" difungsikan sebagai kunci algoritma RC4 untuk keperluan dekripsi muatan.

Komponen biner tersebut kemudian menerobos partisi sistem dan partisi UEFI guna menaruh rentetan file tambahan yang menyalahgunakan CVE-2022-21894 memakai alur kerja yang dinilai sangat serupa dengan apa yang dilakukan BlackLotus. Target utamanya tidak beralih: menanamkan Machine Owner Keys (MOK) agar dapat memuat file EFI arbitrer secara leluasa ke sistem yang disusupi dan mengacaukan integritas Secure Boot.

Aspek yang sangat mengundang perhatian adalah tiadanya kode sumber BlackLotus di domain publik. Situasi tersebut membuktikan bahwa pelaku di balik perancangan BlackX telah membongkar kode asli secara rekayasa balik (reverse engineering) atau membelinya langsung secara eksklusif dari komplotan kriminal pembuatnya.

"Either way, this is an interesting observation, as we rarely see APT actors borrow ideas or code from cybercrime actors," catat Kaspersky menanggapi fenomena kolaborasi metode tersebut.

Muatan berkas UEFI yang diinjeksi pasca-pembobolan celah keamanan tersebut disiapkan khusus guna menyuntikkan driver jahat ke inti kernel Windows. Driver ini ditandatangani menggunakan sertifikat digital milik entitas perusahaan Wenjiang District Mingyu Network Technology Service Studio, yang saat ini sertifikatnya telah dicabut pihak penerbit.

Mengadopsi pola serangan bring your own vulnerable driver (BYOVD), driver ini berusaha merusak integritas piranti lunak endpoint security pada komputer korban. Keunikan lain tampak dari pembatasan perintah modifikasi tertentu yang hanya berjalan bila sistem mengidentifikasi keberadaan antivirus Kaspersky atau Avast. Kendati dirancang demikian, hasil uji Kaspersky membuktikan rentetan instruksi perusak tersebut tidak membuahkan hasil.

Tidak sebatas mencoba meredam pertahanan sistem, driver malware ini turut meluncurkan komponen muatan berbasis user-mode yang didesain untuk agenda spionase siber. Peneliti mencatat adanya dua bentuk muatan berbeda yang disebarkan dalam operasi.

Indikasi keterikatan BlackX dengan sindikat APT41 berakar pada data investigasi ESET pada Juni 2026. Laporan itu menyoroti kiprah kelompok FishMonger dalam menyebarkan backdoor Windows berjuluk SprySOCKS ke instalasi pemerintah di Honduras, Taiwan, Thailand, serta Pakistan dalam kurun waktu 2023 hingga 2024. FishMonger sendiri, yang juga dikenal dengan sebutan Aquatic Panda atau Earth Lusca, terafiliasi kuat di bawah kendali payung operasi APT41.

Vendor keamanan asal Slovakia itu juga menemukan adanya indikasi terbatas bahwa beberapa varian backdoor SprySOCKS memiliki keterkaitan dengan komponen bootkit UEFI yang menyalahgunakan CVE-2023-24932, yang merupakan celah bypass proteksi lain turunan dari BlackLotus.

Persinggungan teknis krusial terlihat dari temuan string "xdd" pada tubuh biner BlackX dan implan kernel besutan FishMonger. Hal ini menguatkan kecurigaan bahwa fondasi bootkit UEFI yang dipakai dalam serangkaian spionase tersebut adalah BlackX itu sendiri. Petunjuk lain yang semakin mengarahkan telunjuk ke kelompok berkarakteristik Tiongkok ialah penerapan teknik DLL sideloading untuk memuat muatan berbahaya, sebuah tanda tangan digital yang lazim dipakai aktor siber negara tersebut.

"By adapting a commercial crimeware tool, the group could bypass procedures intended to protect the Windows boot processes," tutur Kucherin menyimpulkan hasil riset timnya. "This hybrid approach proves that sophisticated adversaries do not need to reinvent the wheel to establish persistent, invisible control over high-value networks."