Hot : Bootkit BlackX Bisa Bobol Secure Boot Windows yang Sudah Di-update!

Sudah rutin memasang Windows Update dan memastikan Secure Boot aktif, tetapi PC rupanya tetap bisa terinfeksi malware sebelum Windows berjalan? Itulah gambaran ancaman terbaru berjulukan BlackX, sebuah UEFI bootkit nan bisa melewati perlindungan Secure Boot meskipun perangkat sudah memasang sejumlah pembaruan keamanan Microsoft.

Nah temuan ini diungkap oleh peneliti keamanan Kaspersky, dan menariknya, masalah tersebut bukan semata-mata lantaran Microsoft belum menyediakan patch, melainkan lantaran proses penerapan perlindungannya memerlukan langkah tambahan nan rupanya tidak banyak diketahui administrator.

Mengenal BlackX dan Cara Kerja UEFI Bootkit

BlackX merupakan bootkit nan menyerang proses awal ketika komputer dinyalakan, dimana ancaman ini berangkaian dengan celah keamanan Windows Boot Manager berjulukan Baton Drop (CVE-2022-21894).

Nah perlu diketahui bahwa UEFI alias Unified Extensible Firmware Interface merupakan firmware nan melangkah ketika komputer dinyalakan, dan salah satu fitur krusial di dalamnya adalah Secure Boot.

Secara umum, Secure Boot bekerja memverifikasi tanda tangan digital komponen nan dijalankan selama proses booting, nan tujuannya memastikan hanya perangkat lunak nan dipercaya nan dapat melangkah sebelum sistem operasi dimuat.

Namun, BlackX memanfaatkan kelemahan pada Windows Boot Manager untuk melewati sistem tersebut. Karena melangkah sebelum Windows sepenuhnya aktif, bootkit dapat memuat driver rawan ke dalam kernel Windows ketika beragam sistem pertahanan sistem operasi belum melangkah secara optimal.

Oleh lantaran itu, ancaman seperti ini juga relatif susah dideteksi menggunakan perangkat keamanan biasa dan berpotensi memperkuat meskipun Windows diinstal ulang, selama partisi boot nan terinfeksi tidak dibersihkan.

Microsoft Sebenarnya Sudah Merilis Patch Sejak 2022

Nah menariknya, celah Baton Drop sebenarnya sudah diperbaiki Microsoft pada 2022 lalu, namun pembaruan tersebut belum langsung mencabut kepercayaan terhadap sertifikat digital nan digunakan untuk menandatangani Windows Boot Manager jenis lama nan tetap rentan.

Hingga pada Mei 2023, Microsoft mulai menerapkan mitigasi tambahan dengan memperkenalkan sertifikat baru berjulukan Windows UEFI CA 2023, kemudian dilanjutkan pada 2024, Microsoft menyediakan sistem untuk memasukkan sertifikat lama, ialah Windows Production PCA 2011, ke dalam database daftar tanda tangan nan dilarang pada Secure Boot.

Simpelnya sih langkah tersebut bermaksud mencegah Windows Boot Manager lama nan rentan agar tidak lagi dipercaya, hanya saja, masalahnya memasang pembaruan saja belum tentu membikin perlindungan tersebut aktif sepenuhnya.

Sudah Update Windows, Tetapi Masih Rentan?

Nah ini bagian menjadi sorotan dalam laporan Kaspersky, menurut mereka pengurus tetap perlu melakukan langkah tambahan untuk mengaktifkan mitigasi Baton Drop setelah memasang pembaruan tertentu.

Hal tersebut lantaran Microsoft tidak langsung mencabut kepercayaan terhadap sertifikat lama lantaran cemas perangkat nan belum mempunyai konfigurasi sertifikat baru justru kandas melakukan booting. Akibatnya, terdapat kesenjangan antara memasang patch dan betul-betul mengaktifkan perlindungan nan diperlukan.

Kaspersky menilai petunjuk tambahan tersebut cukup susah ditemukan oleh pengurus lantaran tersebar dalam pengarsipan Microsoft, padahal kebanyakan pengurus biasanya menganggap proses keamanan sudah selesai setelah pembaruan sukses dipasang.

Microsoft sendiri mengarahkan pengguna untuk mengikuti panduan melalui tulisan Knowledge Base terbaru, namun menurut laporan Ars Technica, pengarsipan tersebut belum menjelaskan secara cukup tegas bahwa patch nan sudah dipasang belum otomatis melindungi semua perangkat dari serangan Baton Drop.

Apakah Microsoft Bisa Disalahkan?

Nah kasus BlackX memperlihatkan dilema nan kudu dihadapi Microsoft, jika sertifikat lama langsung dicabut sebelum perangkat siap menggunakan sertifikat baru, komputer berisiko kandas melakukan booting. Namun, jika sertifikat lama terus dipercaya, Windows Boot Manager nan rentan tetap bisa dimanfaatkan penyerang.

Kaspersky menduga pelaku di kembali kampanye BlackX memahami bahwa banyak organisasi belum menyadari pentingnya mengaktifkan mitigasi Baton Drop secara manual, sehingga perihal tersebut kemungkinan membikin penyerang tertarik mengembangkan jenis bootkit nan meniru keahlian BlackLotus.

Dengan begitu, persoalannya bukan sekadar Microsoft terlambat merilis patch, namun komunikasi mengenai langkah aktivasi dan status perlindungan juga menjadi bagian krusial dari keamanan sistem.

Apa nan Perlu Diperhatikan Administrator Windows?

Nah kasus ini tentu menjadi pengingat bahwa memasang Windows Update saja tidak selalu cukup untuk memastikan seluruh mitigasi keamanan sudah aktif. Administrator, khususnya di lingkungan enterprise, perlu:

• Memeriksa status mitigasi Secure Boot dan Baton Drop.
• Mengikuti petunjuk tambahan dalam pengarsipan resmi Microsoft.
• Memastikan pembaruan sertifikat Secure Boot diterapkan dengan benar.
• Memantau integritas partisi boot dan menggunakan perangkat keamanan nan bisa mendeteksi ancaman UEFI.

Dan untuk pengguna rumahan, laporan ini tidak berfaedah semua PC Windows nan sudah di pembaruan otomatis rentan terhadap BlackX, lantaran status perlindungan berjuntai pada konfigurasi perangkat dan penerapan mitigasi nan diperlukan.

Namun pada akhirnya, kasus BlackX ini menunjukkan bahwa keamanan Windows bukan hanya soal seberapa sering pengguna memasang update, lantaran patch nan sudah tersedia pun tidak bakal memberikan perlindungan maksimal jika langkah aktivasi pentingnya terlewat.

Via : Kaspersky