BlackX UEFI bootkit'i yamalı Windows sistemlerde Secure Boot'u aşıyor

Kaspersky araştırmacıları, 2026'nın başlarında bir casusluk kampanyasında kullanılan ve tam yamalı Windows makinelerde Secure Boot'u atlatan BlackX adlı UEFI bootkit'ini inceledi. BleepingComputer'ın 24 Ekim'de aktardığına göre güvenlik şirketi kampanyayı orta düzey güvenle Çin bağlantılı APT41 grubuna (Brass Typhoon, Wicked Panda ve Barium olarak da biliniyor) atfediyor; hedefler Tacikistan, Özbekistan ve Türkmenistan'daki diplomatik kurumlardı. Vaka önemli, çünkü saldırı ilgili Windows yamasını kurmuş ama ek iptal adımlarını hiç uygulamamış sistemlerde başarılı oldu.

Neler oldu?

BleepingComputer'a göre BlackX, ESET'in 2023'te BlackLotus bootkit'inin istismar ettiğini tespit ettiği Secure Boot atlatma açığı Baton Drop'u (CVE-2022-21894) kullanıyor. Kaspersky, BlackX'in istismar yöntemini BlackLotus'unkine "dikkat çekici derecede benzer" olarak tanımlıyor: Yöntem, saldırganın özel Machine Owner Key (MOK) anahtarları kaydetmesine ve açılış sırasında istediği EFI dosyalarını yüklemesine imkân tanıyor. BlackX'teki bazı kodlar BlackLotus örneklerinde bulunuyor ancak Temmuz 2023'te sızan eksik BlackLotus kaynak kodunda yer almıyor. Kaspersky bu nedenle operatörün BlackLotus'u tersine mühendislikle çözdüğünü ya da kaynak koduna eriştiğini düşünüyor.

Teknik detaylar

BleepingComputer'ın aktardığına göre bootkit, bir Çinli şirkete verilmiş ve artık iptal edilmiş bir sertifikayla imzalanan bir çekirdek sürücüsü bırakıyor. Sürücü güvenlik süreçlerini ve kayıt defteri geri çağrılarını devre dışı bırakıyor, Windows için Olay İzleme (ETW) sağlayıcılarını kurcalıyor. Ayrıca bootkit dosyaları açılmaya çalışıldığında Windows Hesap Makinesi'ni başlatarak bu dosyaları koruyor.

Haberlere göre Kaspersky iki ek yük tespit etti. İlki, komuta-kontrol için Google Drive, OneDrive veya Yandex.Disk kullanan, .NET yükleri çalıştırıp dosya aktaran bir uzaktan erişim truva atı. İkincisi ise googleupdate.exe tarafından yan yüklenen, gizlenmiş bir DLL olan OxiDLLRunner; bu bileşen kabuk kodu ve uzak sunucudan DLL eklentileri yükleyen Rust tabanlı bir yük çalıştırıyor.

Kimler etkileniyor?

The Hacker News, bootkit'in Secure Boot iptalleri eksik olan yamalı Windows sistemlerde başarılı olduğunu belirtiyor. Kaspersky, "Windows Production PCA 2011" sertifikasının iptalinin yama kurulumuyla otomatik gerçekleşmediğini ve elle tetiklenmesi gerektiğini, yöneticilerin ise bu adımı nadiren attığını vurguladı. BleepingComputer ayrıca sertifikanın 19 Ekim 2026'da sona ermesinin, engelleme listesine açıkça eklenmedikçe açık barındıran önyükleme dosyalarının yüklenmesini durdurmadığını aktarıyor.

Ne yapmalı?

• Yalnızca toplu güncellemelere güvenmek yerine Microsoft'un açık barındıran Windows önyükleme yöneticilerini iptal etmeye yönelik belgelenmiş prosedürünü, güncel Secure Boot DBX girdileriyle birlikte uygulayın.
• Özellikle kamu ve diplomatik ortamlardaki kritik uç noktalarda Secure Boot iptal durumunu doğrulayın.
• Beklenmeyen Machine Owner Key kayıtlarını ve sistem bölümündeki tanıdık olmayan EFI dosyalarını izleyin.
• Kaspersky'nin tarif ettiği davranışları, örneğin bulut depolama üzerinden komuta-kontrol trafiğini ve googleupdate.exe aracılığıyla DLL yan yüklemesini avlayın.