Daftar Isi

 

Mengenal UEFI Rootkit, Malware Berbahaya yang Bisa Bertahan Meski Windows Diinstal Ulang

Ancaman keamanan siber terus berkembang seiring meningkatnya ketergantungan manusia terhadap komputer. Berbagai jenis malware kini tidak hanya menyerang file, aplikasi, atau sistem operasi, tetapi juga mulai menargetkan bagian paling mendasar dari perangkat komputer, yaitu firmware. Salah satu ancaman yang perlu diwaspadai adalah UEFI rootkit.

Berbeda dari malware biasa yang umumnya bersembunyi di dalam file atau program, UEFI rootkit dapat menyusup ke firmware komputer yang tersimpan pada chip memori di motherboard. Posisi tersebut membuatnya memiliki kemampuan bertahan yang jauh lebih kuat dibandingkan banyak jenis malware lainnya.

Bahkan, infeksi semacam ini berpotensi tetap ada meskipun pengguna sudah memformat hard drive, mengganti SSD, atau menginstal ulang Windows. Pasalnya, malware tidak tinggal di media penyimpanan utama, melainkan berada di lapisan firmware yang dijalankan sebelum sistem operasi dimulai.

Menurut pembahasan keamanan dari ESET dan Binary Defense, eksploitasi firmware UEFI merupakan ancaman serius karena dapat memberikan kesempatan kepada penyerang untuk menjalankan kode berbahaya sejak tahap awal proses booting.

Lantas, apa sebenarnya UEFI rootkit, bagaimana cara kerjanya, dan mengapa malware ini begitu sulit dideteksi?

1. Apa Itu UEFI Rootkit?

UEFI rootkit merupakan jenis malware tingkat lanjut yang dirancang untuk menyusup dan bertahan di dalam firmware UEFI komputer. Istilah rootkit sendiri merujuk pada perangkat lunak berbahaya yang berusaha menyembunyikan keberadaannya sekaligus mempertahankan akses tidak sah terhadap sistem.

Sementara itu, UEFI atau Unified Extensible Firmware Interface merupakan antarmuka firmware modern yang menggantikan sistem BIOS tradisional pada sebagian besar komputer masa kini.

Firmware UEFI memiliki tugas penting dalam proses awal ketika komputer dinyalakan. Perangkat lunak ini membantu menginisialisasi perangkat keras, menjalankan pemeriksaan awal, dan mempersiapkan sistem agar dapat memuat sistem operasi seperti Windows atau Linux.

Karena bekerja sebelum sistem operasi aktif, firmware UEFI memiliki posisi yang sangat strategis dalam arsitektur komputer.

Kondisi inilah yang dimanfaatkan oleh pembuat UEFI rootkit. Jika berhasil menyusup ke firmware, malware dapat menjalankan instruksi sebelum antivirus dan berbagai mekanisme keamanan yang berada di dalam sistem operasi mulai bekerja.

Dengan kata lain, UEFI rootkit menyerang fondasi yang digunakan komputer untuk memulai aktivitasnya. Hal ini membuat ancamannya berbeda dari malware yang hanya menginfeksi file atau aplikasi biasa.

2. Bagaimana Cara Kerja UEFI Rootkit?

Untuk memahami cara kerja UEFI rootkit, pengguna perlu mengetahui bahwa firmware UEFI umumnya disimpan dalam chip memori flash pada motherboard. Chip tersebut sering disebut sebagai SPI flash karena menggunakan antarmuka Serial Peripheral Interface.

Di dalamnya terdapat berbagai komponen firmware yang dibutuhkan komputer untuk menjalankan proses awal sebelum sistem operasi dimuat.

UEFI rootkit berusaha memodifikasi atau menyisipkan kode berbahaya ke dalam firmware tersebut. Jika berhasil, malware dapat memperoleh kesempatan untuk dijalankan setiap kali komputer dinyalakan.

Berikut beberapa tahapan yang menggambarkan mekanismenya.

Menyusup ke chip SPI flash

Tahap pertama adalah mendapatkan akses untuk memodifikasi firmware yang tersimpan pada chip SPI flash.

Penyerang dapat memanfaatkan kerentanan keamanan, akses administratif yang sudah dikuasai, atau mekanisme serangan lain untuk memasukkan kode berbahaya ke dalam firmware.

Proses ini tidak selalu mudah dilakukan. Firmware komputer biasanya memiliki sejumlah perlindungan, termasuk pengaturan yang membatasi penulisan ulang bagian tertentu.

Namun, apabila perlindungan tersebut berhasil dilewati, penyerang dapat menanamkan komponen malware yang mampu bertahan di luar sistem operasi.

Berjalan sebelum Windows dimuat

Setelah berhasil masuk ke firmware, malware dapat memanfaatkan proses booting untuk menjalankan instruksinya lebih awal.

Ketika tombol daya ditekan, komputer akan memulai rangkaian proses inisialisasi perangkat keras. Firmware UEFI kemudian menjalankan komponen yang diperlukan untuk mempersiapkan sistem operasi.

Pada tahap inilah kode berbahaya yang sudah tertanam dapat ikut dieksekusi.

Keunggulan bagi penyerang adalah malware memiliki kesempatan bekerja sebelum sebagian besar perangkat lunak keamanan berbasis Windows aktif.

Menyisipkan kode berbahaya ke sistem operasi

Setelah berjalan pada tahap awal booting, UEFI rootkit dapat mempersiapkan mekanisme untuk memasukkan komponen berbahaya ke dalam sistem operasi.

Misalnya, malware dapat membantu memuat program tambahan yang bertugas mengumpulkan informasi, mempertahankan akses jarak jauh, atau menjalankan aktivitas lain sesuai tujuan penyerang.

Karena proses tersebut dapat diulang setiap kali komputer dinyalakan, infeksi berpotensi muncul kembali meskipun pengguna sudah membersihkan instalasi Windows sebelumnya.

Namun, kemampuan setiap UEFI rootkit tidak selalu sama. Mekanisme penyebaran, tingkat persistensi, dan tujuan serangannya bergantung pada desain malware serta kerentanan yang berhasil dimanfaatkan.

Baca juga : Google Siapkan Fitur Backup Foto Android ke PC Tanpa Biaya, Begini Cara Kerjanya

3. Mengapa UEFI Rootkit Sangat Berbahaya?

Ancaman UEFI rootkit bukan hanya terletak pada kemampuannya menginfeksi komputer. Hal yang lebih mengkhawatirkan adalah posisinya yang berada di bawah sistem operasi.

Ada beberapa alasan mengapa jenis malware ini dianggap sangat berbahaya.

Memiliki kemampuan bertahan yang ekstrem

Salah satu karakteristik paling menonjol dari UEFI rootkit adalah kemampuannya mempertahankan infeksi di luar media penyimpanan utama.

Malware biasa yang tersimpan di hard drive atau SSD sering kali dapat dihapus melalui proses pembersihan, pemformatan, atau instalasi ulang sistem operasi.

Namun, tindakan tersebut tidak otomatis membersihkan malware yang sudah tertanam di firmware motherboard.

Bayangkan pengguna mengalami infeksi malware, kemudian memutuskan menghapus seluruh partisi Windows dan memasang sistem operasi dari awal. Jika sumber infeksi masih berada di firmware, malware berpotensi kembali aktif setelah komputer dinyalakan.

Mengganti SSD juga belum tentu menyelesaikan masalah karena komponen yang menyimpan firmware tetap menggunakan motherboard yang sama.

Sulit dideteksi antivirus biasa

Sebagian besar antivirus dirancang untuk memeriksa file, aplikasi, proses, dan aktivitas mencurigakan di dalam sistem operasi.

Sementara itu, UEFI rootkit berada pada lapisan firmware yang tidak selalu diperiksa oleh pemindaian antivirus standar.

Akibatnya, pemindaian biasa belum tentu mampu menemukan seluruh indikasi infeksi.

Bukan berarti semua antivirus tidak dapat mendeteksi ancaman firmware. Sejumlah solusi keamanan modern memiliki kemampuan pemeriksaan khusus untuk memeriksa integritas firmware dan mengidentifikasi komponen yang mencurigakan.

Namun, pengguna tetap membutuhkan perangkat dan fitur keamanan yang memang mendukung pemeriksaan pada tingkat firmware.

Berpotensi mengganggu mekanisme keamanan

Karena berjalan lebih awal daripada sistem operasi, UEFI rootkit dapat mencoba memanipulasi proses booting atau mempersiapkan lingkungan agar komponen berbahaya dapat dijalankan.

Dalam skenario tertentu, penyerang juga dapat berusaha mengganggu mekanisme keamanan Windows.

Hal ini membuat proses investigasi menjadi lebih rumit. Pengguna mungkin melihat sistem berperilaku normal, padahal terdapat komponen berbahaya yang bekerja di balik proses awal komputer.

Jika digunakan untuk spionase, malware semacam ini berpotensi membantu penyerang mempertahankan akses dan mengumpulkan informasi dari perangkat yang menjadi target.

4. Contoh UEFI Rootkit yang Pernah Ditemukan

Meskipun serangan terhadap firmware tergolong lebih rumit dibandingkan infeksi malware biasa, sejumlah kasus nyata menunjukkan bahwa ancaman ini bukan sekadar teori.

Beberapa nama yang sering dibahas dalam penelitian keamanan siber antara lain LoJax, MosaicRegressor, dan BlackLotus.

LoJax

LoJax merupakan salah satu contoh UEFI rootkit yang terkenal karena ditemukan digunakan dalam serangan nyata.

Peneliti keamanan ESET mengungkap ancaman ini pada 2018. LoJax dikaitkan dengan kelompok spionase siber yang dikenal sebagai Sednit atau APT28.

Malware tersebut menjadi perhatian karena mampu menanamkan komponen berbahaya ke dalam firmware UEFI komputer target.

Kemampuan ini membuat LoJax dapat mempertahankan keberadaannya meskipun sistem operasi pada perangkat sudah diinstal ulang.

Kasus tersebut menjadi bukti bahwa firmware motherboard dapat menjadi sasaran serangan yang benar-benar terjadi, bukan hanya celah teoritis.

MosaicRegressor

MosaicRegressor merupakan kerangka malware yang juga dikaitkan dengan serangan berbasis firmware UEFI.

Ancaman ini ditemukan dalam operasi spionase siber yang menargetkan sejumlah organisasi dan individu, termasuk lingkungan diplomatik.

Komponen UEFI yang telah dimodifikasi dapat digunakan sebagai bagian dari mekanisme untuk menjalankan malware tambahan, termasuk trojan pengintai.

Kasus MosaicRegressor memperlihatkan bahwa serangan firmware dapat menjadi bagian dari operasi siber yang lebih besar. Tujuannya bukan sekadar merusak komputer, tetapi juga mempertahankan akses dan mengumpulkan informasi dari target tertentu.

BlackLotus

BlackLotus merupakan malware bootkit UEFI yang dikenal karena kemampuannya melewati perlindungan Secure Boot dalam kondisi tertentu.

Secure Boot sendiri merupakan fitur keamanan yang dirancang untuk memastikan komponen penting dalam proses booting memiliki tanda tangan digital yang tepercaya.

BlackLotus menjadi perhatian karena dapat mengeksploitasi kerentanan pada proses booting untuk menjalankan kode berbahaya sebelum sistem operasi aktif.

Namun, perlu dipahami bahwa BlackLotus tidak selalu berarti firmware motherboard telah dimodifikasi seperti pada kasus UEFI rootkit tertentu. Ancaman ini lebih tepat dikenal sebagai UEFI bootkit yang memanfaatkan proses booting dan kelemahan mekanisme keamanan untuk memperoleh persistensi.

Perbedaan tersebut penting karena tidak semua malware yang menyerang proses booting bekerja dengan cara yang sama.

5. Cara Mencegah Serangan UEFI Rootkit

Walaupun serangan firmware tergolong kompleks, pengguna tetap dapat mengambil sejumlah langkah untuk mengurangi risiko.

Perlindungan terbaik bukan hanya mengandalkan antivirus, tetapi juga memastikan firmware, konfigurasi booting, dan sistem operasi selalu mendapatkan pembaruan keamanan.

Aktifkan Secure Boot

Secure Boot merupakan salah satu fitur penting dalam sistem UEFI.

Fitur ini membantu memastikan bahwa komponen yang dijalankan selama proses booting memiliki tanda tangan digital yang dipercaya. Dengan demikian, kode yang tidak dikenal atau tidak memiliki otorisasi dapat diblokir.

Pengguna Windows dapat memeriksa status Secure Boot melalui aplikasi System Information.

Caranya, tekan tombol Windows + R, ketik msinfo32, lalu tekan Enter. Setelah jendela System Information terbuka, cari bagian Secure Boot State.

Jika tertulis On, berarti Secure Boot sedang aktif. Jika tertulis Off, pengguna dapat memeriksa pengaturan UEFI untuk mengaktifkannya, selama perangkat mendukung dan konfigurasi sistem memungkinkan.

Perlu diingat, Secure Boot bukan perlindungan mutlak. Fitur ini tetap dapat memiliki keterbatasan apabila terdapat kerentanan pada rantai kepercayaan atau konfigurasi booting.

Rutin memperbarui firmware BIOS/UEFI

Produsen laptop dan motherboard secara berkala merilis pembaruan firmware untuk memperbaiki bug, meningkatkan kompatibilitas, serta menutup celah keamanan.

Karena itu, pengguna sebaiknya memeriksa pembaruan melalui situs resmi produsen perangkat.

Hindari mengunduh firmware dari situs tidak dikenal karena file yang tidak resmi justru dapat membawa risiko tambahan.

Saat melakukan pembaruan, ikuti petunjuk produsen dengan teliti. Pastikan perangkat mendapatkan pasokan daya yang stabil dan jangan mematikan komputer ketika proses pembaruan sedang berlangsung.

Pembaruan firmware menjadi salah satu langkah penting untuk mengurangi kemungkinan penyerang memanfaatkan kerentanan yang sudah diketahui.

Gunakan antivirus dengan pemeriksaan firmware

Antivirus modern tidak hanya memeriksa file yang tersimpan di Windows. Beberapa produk keamanan juga menyediakan fitur untuk memeriksa integritas firmware UEFI.

Fitur semacam ini dapat membantu menemukan konfigurasi yang tidak biasa atau komponen firmware yang mencurigakan.

Meski demikian, hasil pemindaian tetap perlu ditafsirkan dengan benar. Tidak semua peringatan menunjukkan adanya infeksi, dan tidak semua ancaman firmware dapat ditemukan oleh satu produk keamanan.

Jika terdapat indikasi kuat serangan firmware, pemeriksaan tambahan oleh teknisi atau ahli keamanan siber mungkin diperlukan.

Hindari menjalankan file dari sumber tidak tepercaya

Serangan terhadap firmware memang lebih rumit daripada malware biasa. Namun, penyerang dapat memanfaatkan infeksi awal atau akses administratif untuk mencoba melakukan modifikasi pada perangkat.

Karena itu, kebiasaan keamanan dasar tetap penting.

Hindari menjalankan program bajakan, lampiran mencurigakan, atau aplikasi dari situs yang tidak jelas. Jangan sembarangan memberikan hak administrator kepada program yang tidak dikenal.

Pengguna juga sebaiknya rutin memperbarui Windows dan aplikasi keamanan agar kerentanan yang sudah diperbaiki tidak terus menjadi pintu masuk bagi penyerang.

6. Bagaimana Jika Komputer Sudah Terinfeksi?

Jika terdapat dugaan kuat bahwa firmware UEFI telah dimodifikasi oleh malware, menginstal ulang Windows saja tidak cukup untuk memastikan perangkat bersih.

Langkah penanganannya perlu dilakukan secara lebih menyeluruh.

Salah satu pendekatan yang dapat digunakan adalah melakukan pemulihan atau penulisan ulang firmware menggunakan file resmi dari produsen motherboard atau laptop.

Proses ini sering disebut reflash BIOS/UEFI. Namun, metode tersebut harus dilakukan dengan hati-hati karena kesalahan firmware dapat menyebabkan komputer gagal melakukan booting.

Pada kasus tertentu, terutama jika firmware tidak dapat dipulihkan melalui mekanisme pembaruan normal, teknisi dapat menggunakan alat pemrogram chip eksternal untuk menulis ulang isi chip SPI flash.

Jika chip atau motherboard mengalami kerusakan yang tidak dapat diperbaiki, penggantian komponen mungkin diperlukan.

Namun, pengguna tidak sebaiknya langsung melakukan flashing firmware hanya karena komputer mengalami gangguan atau antivirus menemukan ancaman biasa. Gejala seperti komputer lambat, sering mengalami crash, atau Windows bermasalah tidak otomatis menunjukkan adanya UEFI rootkit.

Pemeriksaan profesional diperlukan untuk memastikan sumber masalah sebelum mengambil tindakan yang berisiko.

Setelah firmware dipulihkan, sistem operasi sebaiknya dipasang kembali menggunakan media instalasi tepercaya. Pengguna juga perlu mengganti kata sandi akun penting apabila terdapat indikasi bahwa kredensial telah dicuri.

Ancaman Firmware yang Tidak Boleh Diabaikan

UEFI rootkit menunjukkan bahwa ancaman keamanan komputer tidak selalu berada di tempat yang mudah terlihat. Malware kini dapat menargetkan komponen dasar yang bertugas menjalankan komputer sebelum sistem operasi dimulai.

Kemampuan bertahan di firmware membuat ancaman ini lebih sulit ditangani dibandingkan malware biasa. Memformat hard drive atau mengganti SSD tidak otomatis menghilangkan infeksi apabila komponen berbahaya masih tertanam di motherboard.

Meski demikian, UEFI rootkit bukan ancaman yang harus membuat setiap pengguna komputer merasa panik. Serangan semacam ini relatif kompleks dan sering dikaitkan dengan target atau operasi tertentu.

Pengguna tetap dapat mengurangi risiko dengan mengaktifkan Secure Boot, memperbarui firmware secara rutin, menggunakan solusi keamanan yang sesuai, serta menghindari program dari sumber tidak tepercaya.

Pada akhirnya, menjaga keamanan komputer tidak cukup hanya dengan memasang antivirus. Firmware, sistem operasi, aplikasi, dan kebiasaan pengguna sama-sama memiliki peran penting dalam melindungi perangkat dari serangan siber.