Kaspersky, diplomatik kurumları hedef alan BlackX bootkit’ini tespit etti

Kaspersky Global Araştırma ve Analiz Ekibi (GReAT), Microsoft’un güvenlik güncellemelerindeki eksiklikleri istismar eden BlackX isimli yeni ve gelişmiş bir bootkit tespit etti. Uzmanlar, bu siber saldırı faaliyetini orta düzeyde bir kesinlikle APT41 grubuyla ilişkilendiriyor. Analizler, BlackX’in, daha önce siber suç dünyasında bilinen BlackLotus yazılımının modernize edilmiş ve geliştirilmiş bir sürümü olduğunu doğruluyor.

Orta Asya’daki Kurumlara Siber Saldırı

2026 yılının başlangıcında, Orta Asya bölgesindeki diplomatik kuruluşlara yönelik bir gelişmiş kalıcı tehdit (APT) saldırısı Kaspersky güvenlik sistemleri tarafından engellendi. Yapılan detaylı incelemeler, saldırganların BlackX aracılığıyla Windows işletim sisteminin önyükleme süreçlerini hedef aldığını ortaya koydu. Bu zararlı yazılım, kurbanların cihazlarına uzun süre fark edilmeden sızmak, üçüncü taraf güvenlik çözümlerini devre dışı bırakmak ve sistem üzerinde gizli erişim sağlamak amacıyla tasarlandı.

Yama Uygulansa Bile Risk Devam Ediyor

Araştırmalar, BlackX’in 2022 yılında dark web ortamında satışa çıkarılan BlackLotus’un güncel bir versiyonu olduğunu gösteriyor. Yazılım, bilgisayarın güvenli açılışını sağlayan Secure Boot özelliğini, “Baton Drop” olarak tanımlanan bir güvenlik açığı üzerinden aşabiliyor. Microsoft bu açık için bir yama yayımlamış olsa da, tam koruma sağlanması için sistem yöneticilerinin manuel yapılandırma adımlarını gerçekleştirmesi şart. Bu adımları tamamlamayan pek çok kuruluş, yamalı sistemlerde dahi söz konusu açık nedeniyle savunmasız kalmaya devam ediyor.

Saldırının Teknik Detayları ve Engellenme Süreci

Saldırganlar, ağa sızdıktan ve yönetici ayrıcalıklarını ele geçirdikten sonra BlackX’i kalıcılık sağlayan ikincil bir araç olarak kullanıyor. Tespit edilmemek için şifreli dosyalar ve özel yükleyiciler tercih eden saldırganlar, ilk aşamada güvenlik yazılımlarını etkisiz hale getirmeye çalışıyor. Ancak Kaspersky uç nokta koruma çözümleri, yazılımın bu girişimini durdurarak saldırının başarıya ulaşmasını engelledi. Eğer bu savunma aşılabilseydi, saldırganların Google Drive, OneDrive ve Yandex Disk gibi bulut hizmetlerini kullanarak veri hırsızlığı yapmayı ve kurbanları izlemeyi hedefledikleri belirlendi.

Uzman Görüşü: Hibrit Tehdit Dönemi

Konuyla ilgili açıklamalarda bulunan Kaspersky GReAT güvenlik uzmanı Georgy Kucherin, durumu şu sözlerle özetledi: “BlackX’in ortaya çıkışı dikkat çekici. Çünkü APT gruplarının, bu örnekte BlackLotus’ta olduğu gibi, doğrudan siber suç dünyasından kod veya fikirler ödünç aldığı durumlarla nadiren karşılaşıyoruz. Grup, ticari olarak sunulan bir siber suç aracını uyarlayarak Windows’un önyükleme sürecini korumak için tasarlanmış güvenlik mekanizmalarını aşabildi. Bu hibrit yaklaşım, gelişmiş tehdit aktörlerinin yüksek değer taşıyan ağlar üzerinde kalıcı ve görünmez bir kontrol sağlamak için her şeyi sıfırdan geliştirmesine gerek olmadığını gösteriyor.”

Kuruluşların bu tür gelişmiş tehditlere karşı korunması için yönetici ayrıcalıklarını sınırlandırmaları, ürün yazılımı (firmware) bütünlüğünü izlemeleri ve Microsoft’un önerdiği manuel yapılandırma adımlarını eksiksiz uygulamaları büyük önem taşıyor.