Kaspersky, Orta Asya'daki diplomatik kuruluşları hedef alan BlackX bootkit'ini ortaya çıkardı

Kaspersky Global Araştırma ve Analiz Ekibi (GReAT), Microsoft’un yayımladığı güvenlik güncellemesindeki yetersizlikten yararlanarak saldırı gerçekleştiren gelişmiş yeni bir bootkit olan BlackX’i tespit etti. Uzmanlar, söz konusu siber saldırı kampanyasını orta düzeyde bir kesinlikle APT41 grubuna atfederken; BlackX’in, kötü şöhretli BlackLotus bootkit’inin modernize edilmiş yeni nesil bir versiyonu olduğunu belirledi.

2026 yılının başlarında Kaspersky güvenlik çözümleri, Orta Asya'daki diplomatik kuruluşları hedef alan bir gelişmiş kalıcı tehdit (APT) saldırısını başarıyla engelledi. Kaspersky GReAT'in daha sonra yürüttüğü araştırma*, saldırganların Windows işletim sisteminin önyükleme sürecindeki güvenlik mekanizmalarını ve birçok üçüncü taraf güvenlik çözümünü atlatmak, ayrıca kurbanların cihazlarına fark edilmeden uzun süre erişim sağlamak üzere tasarlanmış karmaşık ve gizlenme kabiliyeti yüksek bir zararlı yazılım olan BlackX'i kullandığını ortaya koydu.

İnceleme, BlackX'in siber suçlular tarafından 2022'de dark web'de satışa sunulan BlackLotus adlı zararlı yazılımın modernize edilmiş bir devamı olduğunu ortaya koydu. BlackX, bilgisayar açılırken yalnızca güvenilir yazılımların çalışmasını sağlamayı amaçlayan Secure Boot özelliğini aşabiliyor. Bunun için daha önce bilinen ve “Baton Drop” olarak adlandırılan bir güvenlik açığından yararlanıyor. Microsoft bu güvenlik açığına yönelik bir yama yayımlamış olsa da korumanın bütünüyle devreye alınması için sistem yöneticilerinin belirli yapılandırma adımlarını manuel olarak tamamlaması gerekiyor. Bu adımları uygulamayan çok sayıda kuruluş savunmasız kaldı. Bu nedenle saldırganlar, yama uygulanmış sistemlerde bile Baton Drop güvenlik açığından yararlanabildi.

Saldırganlar, kurbanların iç ağlarına sızıp Windows sistemlerinde yönetici ayrıcalıklarını ele geçirdikten sonra BlackX bootkit'ini yüksek kalıcılık sağlayan ikincil bir zararlı yazılım olarak devreye aldı. Faaliyetlerini olay müdahale ekiplerinden gizlemek isteyen saldırganlar, bootkit bileşenlerini şifrelenmiş dosyalar ve tespit edilmekten kaçacak şekilde özel olarak tasarlanmış yükleyici programlar aracılığıyla hedef cihazlara aktardı.

Güvenlik açığından başarıyla yararlanılmasının ardından BlackX, güvenlik yazılımlarını devre dışı bırakmaya yönelik bir bileşen çalıştırıyor. Ancak Kaspersky'nin uç nokta koruma çözümü, zararlı yazılımın bu girişimini engelledi ve saldırı başarısız oldu. Saldırganlar güvenlik korumasını devre dışı bırakmayı başarsaydı, bir sonraki aşamada Google Drive, OneDrive ve Yandex Disk gibi meşru bulut hizmetlerinden yararlanarak gizli bilgileri çalmak ve kurbanların faaliyetlerini izlemek üzere tasarlanmış bir casus yazılım çalıştıracaklardı.

Kaspersky GReAT güvenlik uzmanı Georgy Kucherin, konuyla ilgili şu değerlendirmede bulundu: “BlackX'in ortaya çıkışı dikkat çekici. Çünkü APT gruplarının, bu örnekte BlackLotus'ta olduğu gibi, doğrudan siber suç dünyasından kod veya fikirler ödünç aldığı durumlarla nadiren karşılaşıyoruz. Grup, ticari olarak sunulan bir siber suç aracını uyarlayarak Windows'un önyükleme sürecini korumak için tasarlanmış güvenlik mekanizmalarını aşabildi. Bu hibrit yaklaşım, gelişmiş tehdit aktörlerinin yüksek değer taşıyan ağlar üzerinde kalıcı ve görünmez bir kontrol sağlamak için her şeyi sıfırdan geliştirmesine gerek olmadığını gösteriyor.”

Bu ve benzeri tehditlere karşı korunmak için kuruluşların BT ekipleri, Baton Drop ve benzeri güvenlik açıklarını gidermek üzere Microsoft'un önerdiği adımları manuel olarak uygulamalı. Ayrıca yönetici ayrıcalıkları sınırlandırılmalı ve ürün yazılımının (firmware) bütünlüğünü izleyebilen güvenlik çözümleri kullanılmalı. Kaspersky'nin uç nokta güvenliği çözümlerinde yer alan Exploit Prevention bileşeni, ilgili yama uygulanmamış olsa bile veya henüz bir yaması bulunmayan sıfır gün güvenlik açıkları söz konusu olduğunda dahi güvenlik açıklarından yararlanan kodun çalışmasını engelliyor.

*Araştırma, Endonezya'nın Bali kentinde düzenlenen Security Analyst Summit 2026'da sunuldu.

Global Araştırma ve Analiz Ekibi hakkında

2008 yılında kurulan Global Araştırma ve Analiz Ekibi (GReAT), Kaspersky'nin araştırma faaliyetlerinin merkezinde yer alıyor. Ekip, dünya genelindeki gelişmiş kalıcı tehditleri (APT), siber casusluk kampanyalarını, büyük ölçekli kötü amaçlı yazılım ve fidye yazılımı faaliyetlerini ve yeraltı siber suç dünyasındaki eğilimleri araştırıyor. Bugün Avrupa, Rusya, Latin Amerika, Asya ve Orta Doğu'da faaliyet gösteren 35'ten fazla uzmandan oluşan GReAT, kötü amaçlı yazılım araştırmaları ve inovasyon alanlarında şirkete öncülük ediyor. Ekibin uzmanları, siber tehditlerin keşfedilmesi ve analiz edilmesine yönelik çalışmalarını derin teknik bilgi birikimi, uzmanlık, tutku ve merakla sürdürüyor.

Kaspersky hakkında

Kaspersky, 1997 yılında kurulmuş küresel bir siber güvenlik ve dijital gizlilik şirketidir. Bugüne kadar bir milyardan fazla cihazı yeni ortaya çıkan siber tehditlere ve hedefli saldırılara karşı koruyan Kaspersky'nin derin tehdit istihbaratı ve güvenlik uzmanlığı, dünyanın dört bir yanındaki bireyleri, işletmeleri, kritik altyapıları ve devletleri korumak için sürekli olarak yenilikçi çözümlere ve hizmetlere dönüşüyor. Şirketin kapsamlı güvenlik portföyü, kişisel cihazlar için lider dijital yaşam koruması, şirketler için özel güvenlik ürünleri ve hizmetlerinin yanı sıra sofistike ve gelişen dijital tehditlerle mücadele etmek için Cyber Immune çözümlerini içeriyor. Milyonlarca bireyin ve yaklaşık 200.000 kurumsal müşterinin kendileri için en önemli şeyleri korumalarına yardımcı oluyoruz. kaspersky.com adresinde daha fazla bilgi edinebilirsiniz.

Kaynak: (BYZHA) Beyaz Haber Ajansı