Hot : Bootkit BlackX Bisa Bobol Secure Boot Windows yang Sudah Di-update!

Sudah rutin memasang Windows Update dan memastikan Secure Boot aktif, tetapi PC rupanya statis bisa terinfeksi malware sebelum Windows berjalan? Itulah deskripsi intimidasi terbaru disebut BlackX, sebuah UEFI bootkit yang bisa melewati perlindungan Secure Boot meskipun alat sudah memasang sejumlah pembaruan keamanan Microsoft.

Nah temuan ini diungkap oleh peneliti keamanan Kaspersky, dan menariknya, masalah tersebut bukan semata-mata karena Microsoft belum menyediakan patch, melainkan karena proses implementasi perlindungannya membutuhkan cara tambahan yang rupanya tidak banyak diketahui administrator.

Mengenal BlackX dan Cara Kerja UEFI Bootkit

BlackX merupakan bootkit yang menyerang proses mula ketika komputer dinyalakan, dimana intimidasi ini berhubungan dengan celah keamanan Windows Boot Manager disebut Baton Drop (CVE-2022-21894).

Nah perlu diketahui bahwa UEFI maupun Unified Extensible Firmware Interface merupakan firmware yang berjalan ketika komputer dinyalakan, dan salah satu fitur krusial di dalamnya adalah Secure Boot.

Secara umum, Secure Boot bekerja memverifikasi tanda tangan digital elemen yang dijalankan selama proses booting, yang tujuannya memastikan cuma alat lunak yang dipercaya yang dapat berjalan sebelum mekanisme operasi dimuat.

Namun, BlackX memanfaatkan kelemahan pada Windows Boot Manager untuk melewati mekanisme tersebut. Karena berjalan sebelum Windows sepenuhnya aktif, bootkit dapat memuat driver rapuh ke dalam kernel Windows ketika beragam mekanisme pertahanan mekanisme operasi belum berjalan secara optimal.

Oleh karena itu, intimidasi seperti ini juga relatif sulit dideteksi menggunakan alat keamanan biasa dan berpotensi bertetap meskipun Windows diinstal ulang, selama partisi boot yang terinfeksi tidak dibersihkan.

Microsoft Sebenarnya Sudah Merilis Patch Sejak 2022

Nah menariknya, celah Baton Drop sebenarnya sudah diperbaiki Microsoft pada 2022 lalu, namun pembaruan tersebut belum langsung mencabut kepercayaan terhadap sertifikat digital yang digunakan untuk menandatangani Windows Boot Manager varian durasi yang statis rentan.

Hingga pada Mei 2023, Microsoft mulai menerapkan mitigasi tambahan dengan memperkenalkan sertifikat baru disebut Windows UEFI CA 2023, kemudian dilanjutkan pada 2024, Microsoft menyediakan mekanisme untuk memasukkan sertifikat lama, yaitu Windows Production PCA 2011, ke dalam database daftar tanda tangan yang dilarang pada Secure Boot.

Simpelnya sih cara tersebut bermaksud mencegah Windows Boot Manager durasi yang rapuh agar tidak lagi dipercaya, cuma saja, masalahnya memasang pembaruan saja belum tentu membikin perlindungan tersebut aktif sepenuhnya.

Sudah Update Windows, Tetapi Masih Rentan?

Nah ini bagiankecil menjadi sorotan dalam laporan Kaspersky, menurut mereka pengelola statis perlu berbuat cara tambahan untuk mengaktifkan mitigasi Baton Drop setelah memasang pembaruan tertentu.

Hal tersebut karena Microsoft tidak langsung mencabut kepercayaan terhadap sertifikat durasi karena cemas alat yang belum memiliki konfigurasi sertifikat baru justru gagal berbuat booting. Akibatnya, terdapat kesenjangan antara memasang patch dan benar-benar mengaktifkan perlindungan yang diperlukan.

Kaspersky menilai instruksi tambahan tersebut cukup sulit ditemukan oleh pengelola karena tersebar dalam dokumentasi Microsoft, padahal kebanyakan pengelola biasanya menganggap proses keamanan sudah selesai setelah pembaruan berhasil dipasang.

“Usually, when applying patches, system administrators take no further action unless an installation failure occurs. These instructions for activating the patch are buried deep on the Microsoft website, and we assess that they are quite hard for an average IT pengelola to notice.”

Microsoft sendiri mengarahkan pelanggan untuk mengikuti panduan melalui artikel Knowledge Base terbaru, namun menurut laporan Ars Technica, dokumentasi tersebut belum menerangkan secara cukup tegas bahwa patch yang sudah dipasang belum otomatis melindungi semua alat dari serangan Baton Drop.

Apakah Microsoft Bisa Disalahkan?

Nah kasus BlackX memperlihatkan dilema yang mesti dihadapi Microsoft, jika sertifikat durasi langsung dicabut sebelum alat siap menggunakan sertifikat baru, komputer berisiko gagal berbuat booting. Namun, jika sertifikat durasi terus dipercaya, Windows Boot Manager yang rapuh statis bisa dimanfaatkan penyerang.

Kaspersky menduga pelaku di balik kampanye BlackX memahami bahwa banyak perkumpulan belum menyadari pentingnya mengaktifkan mitigasi Baton Drop secara manual, sehingga hal tersebut kemungkinan membikin penyerang tertarik mengembangkan varian bootkit yang meniru kapasitas BlackLotus.

Dengan begitu, persoalannya bukan sekadar Microsoft terlambat merilis patch, namun komunikasi mengenai cara aktivasi dan status perlindungan juga menjadi bagiankecil krusial dari keamanan sistem.

Apa yang Perlu Diperhatikan Administrator Windows?

Nah kasus ini tentu menjadi pengingat bahwa memasang Windows Update saja tidak selalu cukup untuk memastikan seluruh mitigasi keamanan sudah aktif. Administrator, khususnya di lingkungan enterprise, perlu:

• Memeriksa status mitigasi Secure Boot dan Baton Drop.
• Mengikuti instruksi tambahan dalam dokumentasi resmi Microsoft.
• Memastikan pembaruan sertifikat Secure Boot diterapkan dengan benar.
• Memantau integritas partisi boot dan menggunakan alat keamanan yang bisa mendeteksi intimidasi UEFI.

Dan untuk pelanggan rumahan, laporan ini tidak berarti semua PC Windows yang sudah di pembaruan otomatis rapuh terhadap BlackX, karena status perlindungan bersandar pada konfigurasi alat dan implementasi mitigasi yang diperlukan.

Namun pada akhirnya, kasus BlackX ini memberitahu bahwa keamanan Windows bukan cuma soal seberapa sering pelanggan memasang update, karena patch yang sudah tersedia pun tidak akan memberikan perlindungan maksimal jika cara aktivasi pentingnya terlewat.

Via : Kaspersky