PANDUTEKNO.ID – Peneliti keamanan siber Kaspersky mengungkap ancaman malware baru bernama BlackX yang mampu melewati perlindungan Secure Boot pada komputer Windows dalam kondisi tertentu.
Bootkit BlackX menjadi perhatian karena memanfaatkan celah lama yang belum sepenuhnya ditangani melalui konfigurasi keamanan sistem. Akibatnya, komputer yang sudah menerima pembaruan Windows masih berpotensi menjadi sasaran.
Temuan tersebut dipublikasikan oleh tim Global Research and Analysis Team (GReAT) Kaspersky pada Kamis, 22 Oktober 2026.
Penelitian ini juga dipresentasikan dalam Security Analyst Summit 2026 di Bali, Indonesia.
Menurut Kaspersky, malware tersebut ditemukan dalam operasi serangan siber terhadap organisasi diplomatik di kawasan Asia Tengah.
Bootkit BlackX Menyerang Sistem Windows Sebelum Menyala
BlackX merupakan malware jenis UEFI bootkit yang dirancang untuk bekerja pada tahap awal proses komputer menyala.
Berbeda dengan malware biasa, bootkit dapat beroperasi sebelum sistem operasi Windows berjalan sepenuhnya.
Kemampuan tersebut memungkinkan penyerang mengganggu mekanisme keamanan yang seharusnya melindungi komputer.
Kaspersky menemukan bahwa BlackX memiliki kemiripan dengan BlackLotus, malware bootkit yang sebelumnya dikenal mampu melewati Secure Boot.
BlackLotus pertama kali menjadi perhatian pada 2022 setelah ditawarkan di forum kejahatan siber.
Kemudian, pada 2023, peneliti keamanan ESET mengonfirmasi keberadaan malware tersebut.
Kini, BlackX menunjukkan bahwa teknik serangan serupa masih dapat digunakan untuk menargetkan organisasi penting.
Secure Boot Windows Bisa Dilewati dengan Celah Lama
Bootkit BlackX memanfaatkan kerentanan yang dikenal sebagai Baton Drop dengan kode CVE-2022-21894.
Celah tersebut memungkinkan penyerang mengganggu mekanisme perlindungan Secure Boot.
Secure Boot merupakan fitur keamanan yang dirancang untuk memastikan hanya perangkat lunak tepercaya yang dapat berjalan selama proses awal komputer menyala.
Dengan mekanisme tersebut, sistem dapat mencegah komponen boot berbahaya dijalankan tanpa izin.
Namun, Kaspersky menemukan bahwa perlindungan terhadap Baton Drop belum selalu aktif sepenuhnya meskipun pembaruan keamanan telah dipasang.
Kondisi inilah yang dimanfaatkan BlackX untuk melewati sebagian perlindungan sistem.
Windows yang Sudah Update Belum Tentu Sepenuhnya Aman
Salah satu temuan penting dalam penelitian Kaspersky adalah kondisi komputer korban yang ternyata sudah menerima pembaruan keamanan Windows.
Awalnya, peneliti menduga serangan berhasil karena organisasi korban belum memasang patch.
Namun, pemeriksaan menunjukkan bahwa sistem telah diperbarui.
Masalahnya terletak pada langkah tambahan yang diperlukan untuk mengaktifkan perlindungan secara menyeluruh.
Pembaruan untuk kerentanan Baton Drop melibatkan pencabutan kepercayaan terhadap sertifikat lama bernama Windows Production PCA 2011.
Menurut Kaspersky, proses pencabutan tersebut tidak otomatis selesai hanya dengan memasang pembaruan.
Administrator perlu memastikan langkah mitigasi tambahan telah diterapkan sesuai panduan Microsoft.
Tanpa langkah tersebut, komponen UEFI rentan masih berpotensi dimuat.
Sertifikat Lama Jadi Celah dalam Perlindungan Secure Boot
Sertifikat Windows Production PCA 2011 digunakan dalam proses verifikasi sejumlah komponen boot Windows.
Dalam pembaruan keamanan terkait Baton Drop, Microsoft menyediakan mekanisme untuk mencabut kepercayaan terhadap sertifikat yang memungkinkan komponen rentan dijalankan.
Namun, proses pencabutan memerlukan perhatian khusus.
Hal ini karena perubahan sertifikat Secure Boot dapat memengaruhi kompatibilitas perangkat dan konfigurasi tertentu, termasuk sistem dengan pengaturan dual-boot.
Kaspersky mencatat bahwa sertifikat tersebut telah kedaluwarsa pada 19 Oktober 2026.
Meski demikian, kedaluwarsa sertifikat tidak otomatis mencegah seluruh komponen lama dijalankan.
Komponen yang rentan masih dapat dimuat apabila sertifikat belum dimasukkan ke daftar pencabutan kepercayaan yang sesuai.
Temuan ini memperlihatkan pentingnya pemeriksaan konfigurasi keamanan selain pembaruan perangkat lunak.
BlackX Digunakan untuk Menyerang Organisasi Diplomatik
Kaspersky mengidentifikasi penggunaan BlackX dalam operasi serangan siber pada awal 2026.
Targetnya adalah organisasi diplomatik di Tajikistan, Uzbekistan, dan Turkmenistan.
Penyerang terlebih dahulu memperoleh akses ke jaringan korban serta hak administrator pada komputer yang ditargetkan.
Setelah itu, mereka mencoba memasang BlackX untuk mempertahankan akses secara tersembunyi.
Fakta tersebut penting karena BlackX bukan malware yang dilaporkan dapat langsung mengambil alih setiap komputer Windows tanpa akses awal.
Dalam kasus yang diteliti, penyerang sudah memiliki kendali administratif sebelum mencoba memasang bootkit.
Dengan demikian, perlindungan akun administrator dan jaringan tetap menjadi bagian penting dari pencegahan.
Peneliti Kaitkan BlackX dengan Kelompok APT41
Tim Kaspersky menilai operasi BlackX kemungkinan berkaitan dengan kelompok ancaman siber APT41.
Kelompok tersebut dikenal dalam berbagai laporan keamanan sebagai aktor yang dikaitkan dengan operasi spionase siber.
Namun, Kaspersky menyatakan atribusi tersebut memiliki tingkat keyakinan sedang.
Artinya, hubungan antara operasi BlackX dan APT41 merupakan hasil analisis teknis, bukan kepastian yang telah dibuktikan secara mutlak.
Peneliti menemukan kemiripan teknik dan karakteristik tertentu dengan operasi yang sebelumnya dikaitkan dengan kelompok tersebut.
Temuan ini menjadi perhatian karena serangan terhadap organisasi diplomatik berpotensi berkaitan dengan pencarian informasi strategis.
Malware Berusaha Menonaktifkan Perlindungan Keamanan
Setelah berhasil melewati mekanisme boot, BlackX dirancang untuk menjalankan komponen berbahaya pada tingkat kernel Windows.
Komponen tersebut berupaya mengganggu fungsi perangkat lunak keamanan yang terpasang.
Menurut Kaspersky, malware mencoba memanipulasi mekanisme pemantauan proses, aktivitas sistem, dan pencatatan peristiwa keamanan.
Tujuannya adalah mengurangi kemampuan sistem keamanan dalam mendeteksi aktivitas penyerang.
Namun, tidak seluruh upaya tersebut berhasil.
Kaspersky menyatakan perlindungan endpoint miliknya mampu menggagalkan upaya malware untuk menonaktifkan sistem keamanan dalam kasus yang diteliti.
Akibatnya, serangan tersebut berhasil dihentikan.
Layanan Cloud Berpotensi Disalahgunakan untuk Spionase
Peneliti juga menemukan bahwa komponen lanjutan dalam operasi BlackX dirancang untuk mendukung kegiatan spionase siber.
Salah satu tekniknya adalah memanfaatkan layanan cloud yang sah sebagai sarana komunikasi.
Layanan seperti Google Drive, Microsoft OneDrive, dan Yandex Disk disebut dalam analisis Kaspersky.
Pemanfaatan layanan tersebut dapat membuat lalu lintas berbahaya terlihat menyerupai aktivitas jaringan biasa.
Namun, hal ini tidak berarti platform cloud tersebut diretas atau secara langsung mendukung kegiatan penyerang.
Dalam skenario tersebut, layanan yang sah berpotensi disalahgunakan sebagai bagian dari komunikasi malware.
Risiko ini menjadi alasan organisasi perlu memantau aktivitas jaringan dan penggunaan layanan cloud secara lebih cermat.
Cara Melindungi Windows dari Bootkit BlackX
Pengguna dan administrator Windows dapat melakukan sejumlah langkah untuk mengurangi risiko serangan bootkit.
Pertama, pastikan Windows dan firmware UEFI telah mendapatkan pembaruan keamanan yang tersedia.
Kedua, periksa apakah perlindungan Secure Boot telah dikonfigurasi dengan benar.
Ketiga, administrator organisasi perlu meninjau panduan resmi Microsoft mengenai pencabutan sertifikat Secure Boot lama.
Keempat, batasi penggunaan akun administrator agar tidak mudah disalahgunakan penyerang.
Kelima, gunakan perangkat lunak keamanan yang mampu memantau aktivitas berbahaya pada tingkat sistem.
Selain itu, organisasi perlu melakukan pemeriksaan keamanan berkala terhadap perangkat yang menangani informasi penting.
Perubahan konfigurasi Secure Boot sebaiknya mengikuti dokumentasi resmi Microsoft dan produsen perangkat.
Pengguna tidak disarankan mengubah sertifikat atau pengaturan firmware secara sembarangan karena kesalahan konfigurasi dapat menyebabkan komputer gagal melakukan boot.
Ancaman Bootkit BlackX Jadi Peringatan bagi Pengguna Windows
Bootkit BlackX memperlihatkan bahwa pembaruan sistem operasi saja belum selalu cukup untuk menghadapi serangan tingkat lanjut.
Dalam kasus yang ditemukan Kaspersky, penyerang memanfaatkan kelemahan penerapan mitigasi Secure Boot pada komputer yang sudah menerima patch.
Malware tersebut digunakan dalam operasi terhadap organisasi diplomatik di Asia Tengah pada awal 2026.
Meski demikian, serangan yang diteliti membutuhkan akses administratif lebih dahulu dan tidak membuktikan bahwa seluruh perangkat Windows berada dalam kondisi terinfeksi.
Kaspersky juga melaporkan bahwa serangan yang diamati berhasil dihentikan oleh perlindungan keamanannya.
Temuan ini menjadi pengingat penting bagi pengguna dan pengelola infrastruktur digital untuk memperhatikan pembaruan firmware, konfigurasi Secure Boot, serta perlindungan akun administrator.
Dengan langkah keamanan yang tepat, risiko penyalahgunaan kerentanan lama dapat dikurangi.
