Bootkit BlackX Infeksi Windows Ter-patch, Salah Microsoft?
Judul asli: UEFI bootkit infected fully patched Windows machines. Is Microsoft to blame?
Mengapa Ini Penting
Celah antara penerbitan patch dan pencabutan sertifikat menciptakan risiko nyata di infrastruktur enterprise.
Bootkit UEFI bernama BlackX menginfeksi mesin Windows yang sudah ter-patch sepenuhnya, mengeksploitasi celah CVE-2022-21894 yang belum dicabut sertifikat kepercayaannya oleh Microsoft.
BlackX adalah bootkit UEFI terbaru yang berhasil menembus sistem Windows 11 meski seluruh pembaruan keamanan sudah terpasang. Cara kerjanya memanfaatkan celah yang sama dengan BlackLotus — kerentanan 'Baton Drop' (CVE-2022-21894) pada Windows boot manager yang memungkinkan bypass Secure Boot dan, dalam kondisi tertentu, ekstraksi kunci enkripsi BitLocker.
Microsoft memang sudah menambal kerentanan ini pada 2022, lalu menambahkan sertifikat baru pada 2023 dan mekanisme pencabutan kepercayaan pada 2024. Namun organisasi yang terinfeksi BlackX telah memasang semua patch tersebut. Masalahnya: Microsoft tidak segera mencabut kepercayaan terhadap sertifikat lama yang menandatangani boot manager versi rentan.
Bootkit UEFI bekerja sebelum sistem operasi dan pertahanan keamanan aktif, sehingga sulit dideteksi tanpa alat khusus. Infeksi bahkan bisa bertahan setelah reinstalasi OS jika partisi boot yang terinfeksi tidak diformat. BlackLotus pada 2023 tercatat sebagai bootkit pertama yang membuktikan bypass Secure Boot di lapangan — BlackX melanjutkan tradisi itu dengan memanfaatkan ambiguitas yang sama.