Kaspersky, Orta Asya'da diplomatik kurumlara yönelik saldırılarda yamalı sistemlerde çalışan UEFI bootkit'i BlackX'i buldu

Kaspersky’nin araştırma ekibi GReAT, 22 Ekim’de yayımladığı raporda, 2026’nın başında Tacikistan, Özbekistan ve Türkmenistan’daki diplomatik kurumları hedef alan karmaşık bir saldırıyı anlattı. Saldırılarda BlackX adı verilen bir UEFI bootkit kullanıldı. Bootkit, zararlı kodu işletim sistemi başlamadan önce yükleyen bir zararlı türü.

Kaspersky’ye göre BlackX, Ekim 2022’de bir siber suç forumunda 5.000 dolara satışa çıkarılan ve varlığı Mart 2023’te ESET tarafından doğrulanan BlackLotus’a çok benziyor. BlackLotus, Baton Drop adı verilen CVE-2022-21894 açığını kullanarak Windows’un güvenli önyükleme (Secure Boot) korumasını atlatabiliyordu. BlackLotus’un kaynak kodu hiçbir zaman internette yayımlanmadı. Kaspersky bu yüzden BlackX’in arkasındakilerin BlackLotus’u tersine mühendislikle çözdüğünü ya da kaynak kodunu siber suçlulardan satın aldığını düşünüyor ve devlet destekli grupların siber suçlulardan fikir ya da kod ödünç almasının nadir olduğunu belirtiyor.

Yamalı makinelerin etkilenme nedeni

Kaspersky önce hedef makinelerde güncellemelerin eksik olduğunu düşündü, ancak makinelerin tamamen güncel olduğu ortaya çıktı. Sorun, Baton Drop düzeltmesinin işleyişindeydi. Düzeltme, açık içeren UEFI bileşenlerini imzalamak için kullanılan “Windows Production PCA 2011” sertifikasını iptal etmek için tasarlandı. Ancak bu iptal güncelleme kurulduğunda kendiliğinden gerçekleşmiyor, kullanıcının bunu elle tetiklemesi gerekiyor. Kaspersky’ye göre bunun için kayıt defterinde bir ayar yapılıyor ve Secure-Boot-Update adlı bir zamanlanmış görev oluşturuluyor.

Kaspersky, düzeltmenin otomatik uygulanmamasının, bu sertifikaya dayanan çift işletim sistemli makineleri bozmamak için olduğunu belirtiyor. Ancak sistem yöneticilerinin güncellemeden sonra ek adım atmasının alışılmadık olduğunu, talimatların da Microsoft’un sitesinde fark edilmesi zor bir yerde bulunduğunu söylüyor. Microsoft’un planında sertifikanın kullanıcı müdahalesi olmadan iptal edileceği bir “uygulama aşaması” var, ancak rapor yayımlandığında bu aşama başlamamıştı. Sertifikanın süresi 19 Ekim 2026’da doldu, ama Kaspersky’ye göre sertifika engelleme listesine eklenmedikçe açık içeren bileşenler yüklenmeye devam ediyor.

Saldırının işleyişi

Saldırganlar, kurbanların ağına raporda belirtilmeyen bir yöntemle girip yönetici yetkisi aldıktan sonra BlackX’i kuruyor. Kurulum dosyasının kendisinde zararlı bir içerik yok, gereken bütün bileşenler RC4 ile şifrelenmiş ayrı bir dosyada bulunuyor. Bu da olay müdahale ekiplerinin bootkit bileşenlerini ele geçirmesini zorlaştırıyor. Bootkit, BlackLotus’takine çok benzeyen bir yöntemle Baton Drop’u kullanıp kendi Machine Owner Key’lerini (MOK) kuruyor ve böylece istediği EFI dosyalarını yükleyebiliyor.

Ardından Windows çekirdeğine zararlı bir sürücü yerleştiriliyor. Sürücü, güvenlik yazılımlarının süreç, iş parçacığı ve kayıt defteri bildirimlerini devre dışı bırakıyor ve bootkit dosyalarını korumaya alıyor. Bazı müdahale işlevleri yalnızca Kaspersky ya da Avast ürünleri kuruluysa çalışacak şekilde tasarlanmış, ancak Kaspersky’nin incelemesine göre bunlar Kaspersky ürünlerini etkilemekte başarısız oluyor. Sürücüyü imzalamak için kullanılan sertifika, veren kuruluş tarafından iptal edildi.

Sürücü, casusluk için iki farklı yük bırakıyor. Biri, komuta kontrol için Google Drive, OneDrive ve Yandex.Disk gibi bulut depolama hizmetlerini kullanan ve ek .NET bileşenleri yükleyebilen bir uzaktan erişim truva atı. Diğeri, OxiDLLRunner adı verilen ve meşru bir programın yanına yerleştirilerek (DLL sideloading) yüklenen bir DLL. Bu DLL, archivetj[.]com sunucusuyla haberleşen Rust ile yazılmış bir yükü çalıştırıyor.

APT41 bağlantısı

Kaspersky saldırıyı orta düzeyde güvenle Çin bağlantılı APT41 grubuna bağlıyor. Bunun bir dayanağı, ESET’in Haziran 2026’da APT41 ile ilişkili görülen FishMonger grubu hakkında yayımladığı rapor. O raporda adı belirtilmeyen bir UEFI bootkit bileşeninin olası kullanımından söz ediliyordu. Kaspersky, ESET’in incelediği çekirdek bileşeninde görülen “xdd” ifadesinin BlackX’te de defalarca geçtiğini ve BlackX’in o raporda sözü edilen bootkit olduğunu değerlendiriyor. DLL sideloading kullanımı ve OLLVM ile gizleme de Çince konuşan tehdit aktörlerinde sık görülen yöntemler.

Önerilen önlemler

Windows makinelerinde Baton Drop düzeltmesinin yalnızca kurulmuş değil, Microsoft’un talimatlarına göre etkinleştirilmiş olduğunu kontrol edin. The Hacker News’in aktardığına göre bunun için “Windows Production PCA 2011” sertifikasının UEFI güvenli önyükleme engelleme listesine (DBX) eklenmesi gibi elle yapılması gereken adımlar uygulanmalı. Microsoft’un iptallerin nasıl yönetileceğini anlatan rehberi kaynaklar arasında yer alıyor.