Hot : Bootkit BlackX Bisa Bobol Secure Boot Windows yang Sudah Di-update!

Sudah rutin memasang Windows Update dan memastikan Secure Boot aktif, tetapi PC ternyata masih bisa terinfeksi malware sebelum Windows berjalan? Itulah gambaran ancaman terbaru bernama BlackX, sebuah UEFI bootkit yang mampu melewati perlindungan Secure Boot meskipun perangkat sudah memasang sejumlah update keamanan Microsoft.

Nah temuan ini diungkap oleh peneliti keamanan Kaspersky, dan menariknya, masalah tersebut bukan semata-mata karena Microsoft belum menyediakan patch, melainkan karena proses penerapan perlindungannya membutuhkan langkah tambahan yang ternyata tidak banyak diketahui administrator.

Mengenal BlackX dan Cara Kerja UEFI Bootkit

BlackX merupakan bootkit yang menyerang proses awal ketika komputer dinyalakan, dimana ancaman ini berkaitan dengan celah keamanan Windows Boot Manager bernama Baton Drop (CVE-2022-21894).

Nah perlu diketahui bahwa UEFI atau Unified Extensible Firmware Interface merupakan firmware yang berjalan ketika komputer dinyalakan, dan salah satu fitur penting di dalamnya adalah Secure Boot.

Secara umum, Secure Boot bertugas memverifikasi tanda tangan digital komponen yang dijalankan selama proses booting, yang tujuannya memastikan hanya perangkat lunak yang dipercaya yang dapat berjalan sebelum sistem operasi dimuat.

Namun, BlackX memanfaatkan kelemahan pada Windows Boot Manager untuk melewati mekanisme tersebut. Karena berjalan sebelum Windows sepenuhnya aktif, bootkit dapat memuat driver berbahaya ke dalam kernel Windows ketika berbagai mekanisme pertahanan sistem operasi belum berjalan secara optimal.

Oleh karena itu, ancaman seperti ini juga relatif sulit dideteksi menggunakan perangkat keamanan biasa dan berpotensi bertahan meskipun Windows diinstal ulang, selama partisi boot yang terinfeksi tidak dibersihkan.

Microsoft Sebenarnya Sudah Merilis Patch Sejak 2022

Nah menariknya, celah Baton Drop sebenarnya sudah diperbaiki Microsoft pada 2022 lalu, namun update tersebut belum langsung mencabut kepercayaan terhadap sertifikat digital yang digunakan untuk menandatangani Windows Boot Manager versi lama yang masih rentan.

Hingga pada Mei 2023, Microsoft mulai menerapkan mitigasi tambahan dengan memperkenalkan sertifikat baru bernama Windows UEFI CA 2023, kemudian dilanjutkan pada 2024, Microsoft menyediakan mekanisme untuk memasukkan sertifikat lama, yaitu Windows Production PCA 2011, ke dalam database daftar tanda tangan yang dilarang pada Secure Boot.

Simpelnya sih langkah tersebut bertujuan mencegah Windows Boot Manager lama yang rentan agar tidak lagi dipercaya, hanya saja, masalahnya memasang update saja belum tentu membuat perlindungan tersebut aktif sepenuhnya.

Sudah Update Windows, Tetapi Masih Rentan?

Nah ini bagian menjadi sorotan dalam laporan Kaspersky, menurut mereka administrator masih perlu melakukan langkah tambahan untuk mengaktifkan mitigasi Baton Drop setelah memasang update tertentu.

Hal tersebut karena Microsoft tidak langsung mencabut kepercayaan terhadap sertifikat lama karena khawatir perangkat yang belum memiliki konfigurasi sertifikat baru justru gagal melakukan booting. Akibatnya, terdapat kesenjangan antara memasang patch dan benar-benar mengaktifkan perlindungan yang diperlukan.

Kaspersky menilai instruksi tambahan tersebut cukup sulit ditemukan oleh administrator karena tersebar dalam dokumentasi Microsoft, padahal kebanyakan administrator biasanya menganggap proses keamanan sudah selesai setelah update berhasil dipasang.

“Usually, when applying patches, system administrators take no further action unless an installation failure occurs. These instructions for activating the patch are buried deep on the Microsoft website, and we assess that they are quite hard for an average IT administrator to notice.”

Microsoft sendiri mengarahkan pelanggan untuk mengikuti panduan melalui artikel Knowledge Base terbaru, namun menurut laporan Ars Technica, dokumentasi tersebut belum menjelaskan secara cukup tegas bahwa patch yang sudah dipasang belum otomatis melindungi semua perangkat dari serangan Baton Drop.

Apakah Microsoft Bisa Disalahkan?

Nah kasus BlackX memperlihatkan dilema yang harus dihadapi Microsoft, jika sertifikat lama langsung dicabut sebelum perangkat siap menggunakan sertifikat baru, komputer berisiko gagal melakukan booting. Namun, jika sertifikat lama terus dipercaya, Windows Boot Manager yang rentan masih bisa dimanfaatkan penyerang.

Kaspersky menduga pelaku di balik kampanye BlackX memahami bahwa banyak organisasi belum menyadari pentingnya mengaktifkan mitigasi Baton Drop secara manual, sehingga hal tersebut kemungkinan membuat penyerang tertarik mengembangkan varian bootkit yang meniru kemampuan BlackLotus.

Dengan begitu, persoalannya bukan sekadar Microsoft terlambat merilis patch, namun komunikasi mengenai langkah aktivasi dan status perlindungan juga menjadi bagian penting dari keamanan sistem.

Apa yang Perlu Diperhatikan Administrator Windows?

Nah kasus ini tentu menjadi pengingat bahwa memasang Windows Update saja tidak selalu cukup untuk memastikan seluruh mitigasi keamanan sudah aktif. Administrator, khususnya di lingkungan enterprise, perlu:

• Memeriksa status mitigasi Secure Boot dan Baton Drop.
• Mengikuti instruksi tambahan dalam dokumentasi resmi Microsoft.
• Memastikan pembaruan sertifikat Secure Boot diterapkan dengan benar.
• Memantau integritas partisi boot dan menggunakan perangkat keamanan yang mampu mendeteksi ancaman UEFI.

Dan untuk pengguna rumahan, laporan ini tidak berarti semua PC Windows yang sudah di update otomatis rentan terhadap BlackX, karena status perlindungan bergantung pada konfigurasi perangkat dan penerapan mitigasi yang diperlukan.

Namun pada akhirnya, kasus BlackX ini menunjukkan bahwa keamanan Windows bukan hanya soal seberapa sering pengguna memasang update, karena patch yang sudah tersedia pun tidak akan memberikan perlindungan maksimal jika langkah aktivasi pentingnya terlewat.

Via : Kaspersky