Kabar buruk bagi kantor yang mengira urusan keamanan Windows selesai setelah install update bulanan. Kaspersky pada 22 Oktober 2026 mempublikasikan temuan BlackX, sebuah UEFI bootkit baru yang berhasil menembus Secure Boot di komputer Windows yang patch-nya sudah terpasang. Sasaran awalnya badan diplomatik di Tajikistan, Uzbekistan, dan Turkmenistan pada awal 2026, dan aktivitas ini dicurigai terkait kelompok APT41.

Inti masalahnya sederhana dan justru sering terlewat di instansi: patch Windows hanya menutup celah, tetapi pencabutan sertifikat boot lama (revocation/DBX) harus diaktifkan terpisah. Selama langkah manual itu belum dijalankan, Windows Boot Manager versi lama yang rentan masih bisa dimuat. Itulah pintu yang dipakai BlackX.

BlackX: BlackLotus versi baru yang memanfaatkan Baton Drop

BlackX adalah pengembangan dari BlackLotus, bootkit yang dijual di forum kriminal pada 2022 seharga 5.000 dolar AS dan baru dikonfirmasi keberadaannya oleh ESET pada Maret 2023. Keduanya memakai celah CVE-2022-21894 alias "Baton Drop", yaitu kelemahan Secure Boot yang memungkinkan penyerang melakukan rollback ke Windows Boot Manager lama yang belum masuk daftar larangan.

Menurut Kaspersky, penyerang masuk lebih dulu ke jaringan korban dan mendapat hak administrator, lalu menjatuhkan dua berkas: inst.exe dan berkas terenkripsi tanpa ekstensi PVMDIJGKAX2. Installer dijalankan dari command line dengan kunci RC4 sebagai argumen. Setelah itu bootkit menanam Machine Owner Key (MOK) agar bisa memuat berkas EFI sembarang, lalu menyuntikkan driver jahat ke kernel Windows.

Driver tersebut ditandatangani sertifikat milik sebuah perusahaan bernama Wenjiang District Mingyu Network Technology Service Studio, yang kini sudah dicabut. Tugasnya melemahkan perangkat keamanan endpoint, kemudian menjatuhkan payload mata-mata: remote access trojan yang memakai Google Drive, OneDrive, dan Yandex.Disk sebagai kanal perintah, serta DLL bernama OxiDLLRunner yang dibajak lewat googleupdate.exe untuk menjalankan payload Rust.

Kenapa "sudah di-patch" belum cukup

Sertifikat Windows Production PCA 2011 berakhir masa berlakunya pada 19 Oktober 2026. Namun menurut Kaspersky, kedaluwarsa sertifikat tidak otomatis mencegah binary lama dimuat — selama sertifikat itu belum dimasukkan ke daftar larangan (DBX), jalur serangan tetap terbuka. Microsoft sendiri sejak 2023 menegaskan bahwa penanganan tuntas CVE-2023-24932 memerlukan langkah tambahan di luar instalasi update biasa, dan bahwa pencabutan ini bersifat permanen: setelah diterapkan, tidak bisa dibatalkan meski disk diformat ulang.

Inilah yang membuat kasus ini relevan untuk pemda, desa, sekolah, dan UMKM: komputer layanan publik biasanya hanya menerima Windows Update otomatis, sementara rotasi sertifikat Secure Boot 2023 dan penerapan DBX jarang disentuh karena dianggap urusan teknis lanjutan.

Cek cepat: apakah PC Anda masih bisa ditembus?

1. Pastikan Secure Boot aktif. Buka msinfo32 dan lihat baris "Secure Boot State". Bisa juga lewat PowerShell sebagai admin: Confirm-SecureBootUEFI. Jika hasilnya False atau BIOS masih mode Legacy, aktifkan UEFI + Secure Boot lebih dulu.
2. Cek status rotasi sertifikat 2023. Jalankan PowerShell: Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing', lalu perhatikan nilai UEFICA2023Status. Status yang benar adalah Updated; NotStarted atau InProgress berarti belum selesai. Periksa juga UEFICA2023Error, yang harus 0 atau kosong.
3. Pastikan kunci 2023 sudah ada di database Secure Boot. Idealnya daftar DB memuat entri "Windows UEFI CA 2023" di samping sertifikat lama. Jika hanya ada sertifikat 2011, perangkat belum siap menghadapi masa berlaku sertifikat baru.
4. Perbarui firmware/BIOS. Ambil versi terbaru dari situs produsen. Tanpa firmware yang mendukung pembaruan KEK/DB dari sistem operasi, sebagian langkah akan gagal.

Menerapkan revokasi (uji dulu, jangan langsung massal)

Jika status masih belum beres, administrator bisa memicu deployment lewat registry. Nilai AvailableUpdates di HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot diisi 0x5944 untuk meminta seluruh operasi relevan: penambahan sertifikat CA 2023, pembaruan KEK, dan pemasangan boot manager bertanda tangan 2023. Setelah itu jalankan scheduled task \Microsoft\Windows\PI\Secure-Boot-Update agar tidak menunggu jadwal otomatis, lalu restart dan periksa kembali UEFICA2023Status serta UEFICA2023Error.

Peringatan penting: langkah ini permanen dan berisiko membuat perangkat gagal boot jika firmware tidak kompatibel atau media instalasi masih memakai boot manager lama. Ujilah pada satu atau dua PC lebih dulu, siapkan recovery, dan pastikan media instalasi USB sudah diperbarui. Untuk jumlah besar, gunakan Group Policy "Enable Secure Boot certificate deployment" atau Intune agar seragam.

Tanda komputer mungkin sudah terinfeksi

• Ada berkas C:\ProgramData\Intel\inst.exe atau berkas tanpa ekstensi bernama acak di folder yang sama.
• Muncul entri MOK (Machine Owner Key) yang tidak dikenal di menu UEFI.
• Log event Secure Boot mencatat kegagalan atau perubahan DB/DBX yang tidak dijadwalkan, misalnya Event ID 1795, 1801, 1803, atau 1808.
• Ada koneksi keluar ke domain tidak lazim, misalnya archivetj[.]com, atau aktivitas googleupdate.exe yang memuat DLL dari lokasi tak semestinya.

Jika salah satu tanda di atas muncul, jangan sekadar reinstall Windows — bootkit bertahan di partisi EFI dan bisa hidup lagi. Yang diperlukan: pembersihan partisi EFI, reset kunci Secure Boot ke kondisi pabrik, ganti kata sandi akun yang pernah dipakai di perangkat itu, dan audit akun administrator.

Kebijakan minimum untuk kantor

• Batasi hak administrator hanya untuk staf TI; mayoritas serangan bootkit berawal dari hak admin yang bocor.
• Aktifkan Secure Boot dan TPM 2.0 di seluruh PC, lalu pantau status rotasi sertifikat setiap kuartal.
• Jadwalkan pembaruan firmware bersama siklus update Windows, bukan menunggu masalah muncul.
• Simpan cadangan data terpisah dari PC, karena bootkit dirancang untuk bertahan dan menyamar.

Kesimpulannya: BlackX bukan alasan panik, tetapi pengingat bahwa keamanan Windows punya dua lapisan — patch dan konfigurasi. Banyak instansi sudah rajin memasang update, namun lupa bahwa revokasi Secure Boot harus dinyalakan dengan sengaja.

Sumber: Kaspersky Securelist — New BlackX UEFI bootkit exploiting Baton Drop; The Hacker News — BlackX UEFI Bootkit Bypasses Secure Boot; Microsoft — Manage Windows Boot Manager revocations (KB5025885).