Kaspersky Global Araştırma ve Analiz Ekibi (GReAT), Microsoft’un güvenlik güncellemelerindeki yetersizlikleri fırsat bilerek gelişmiş bir saldırı gerçekleştiren yeni nesil bir bootkit olan BlackX'i tespit etti. Uzmanlar, bu siber saldırı kampanyasını orta düzeyde bir kesinlikle APT41 grubuna atfederken; BlackX’in, daha önce dark web'de satışa sunulan ve kötü şöhretli olarak bilinen BlackLotus bootkit'inin modernize edilmiş bir devamı olduğunu belirtti. 2026 yılının başlarında Kaspersky güvenlik çözümleri, Orta Asya'daki diplomatik kuruluşları hedef alan bu gelişmiş kalıcı tehdit (APT) saldırısını başarıyla engelledi.
Secure Boot Güvenliğinin Aşılması ve Baton Drop Açığı
Kaspersky GReAT tarafından yürütülen araştırma sonuçlarına göre, saldırganlar Windows işletim sisteminin önyükleme sürecindeki güvenlik mekanizmalarını ve birçok üçüncü taraf güvenlik çözümünü atlayarak kurbanların cihazlarına fark edilmeden uzun süre erişim sağlamayı amaçlayan karmaşık bir zararlı yazılım geliştirdi. İnceleme sürecinde, BlackX'in siber suçlular tarafından 2022 yılında piyasaya sürülen BlackLotus adlı zararlı yazılımın modernize edilmiş bir versiyonu olduğu açıkça ortaya konuldu.
BlackX, bilgisayar açılırken yalnızca güvenilir yazılımların çalışmasını sağlayan Secure Boot özelliğini aşabilme yeteneğine sahiptir. Bu işlem için, daha önce bilinen ve “Baton Drop” olarak adlandırılan bir güvenlik açığından yararlanılmaktadır. Microsoft bu güvenlik açığına yönelik bir yama yayımlamış olsa da, korumanın bütünüyle devreye girmesi için sistem yöneticilerinin belirli yapılandırma adımlarını manuel olarak tamamlaması gerekmektedir. Bu adımları uygulamayan çok sayıda kuruluş savunmasız kaldığından, saldırganlar yama uygulanmış sistemlerde bile Baton Drop güvenlik açığından faydalanabildiler.
Saldırının Teknik Detayları ve Müdahale Stratejileri
Saldırganlar, kurbanların iç ağlarına sızıp Windows sistemlerinde yönetici ayrıcalıklarını ele geçirdikten sonra, yüksek kalıcılık sağlayan ikincil bir zararlı yazılım olarak BlackX bootkit’ini devreye aldı. Faaliyetlerini olay müdahale ekiplerinden gizlemek isteyen grup, bootkit bileşenlerini şifrelenmiş dosyalar ve tespit edilmekten kaçacak şekilde özel olarak tasarlanmış yükleyici programlar aracılığıyla hedef cihazlara aktardı.
Güvenlik açığından başarıyla yararlanılmasının ardından BlackX, güvenlik yazılımlarını devre dışı bırakmaya yönelik bir bileşen çalıştırdı. Ancak Kaspersky'nin uç nokta koruma çözümü, zararlı yazılımın bu girişimini engelleyerek saldırının başarısız olmasını sağladı. Saldırganlar güvenlik korumasını devre dışı bırakmayı başarsaydı, bir sonraki aşamada Google Drive, OneDrive ve Yandex Disk gibi meşru bulut hizmetlerinden yararlanarak gizli bilgileri çalmak ve kurbanların faaliyetlerini izlemek üzere tasarlanmış bir casus yazılım çalıştıracaklardı.
Kaspersky GReAT güvenlik uzmanı Georgy Kucherin, BlackX'in ortaya çıkışının dikkat çekici olduğunu vurguladı. Siber suç dünyasından doğrudan kod veya fikir ödünç alan APT gruplarıyla nadiren karşılaşıldığını belirten Kucherin, grubun ticari olarak sunulan bir siber suç aracını uyarlayarak Windows'un önyükleme sürecini korumak için tasarlanmış güvenlik mekanizmalarını aştığını ifade etti. Bu hibrit yaklaşımın, gelişmiş tehdit aktörlerinin yüksek değer taşıyan ağlar üzerinde kalıcı ve görünmez bir kontrol sağlamak için her şeyi sıfırdan geliştirmesine gerek olmadığını gösterdiğini ekledi.
Bu tür tehditlere karşı korunmak için kuruluşların BT ekipleri, Baton Drop ve benzeri güvenlik açıklarını gidermek üzere Microsoft'un önerdiği adımları manuel olarak uygulamalıdır. Ayrıca yönetici ayrıcalıkları sınırlandırılmalı ve ürün yazılımının (firmware) bütünlüğünü izleyebilen güvenlik çözümleri kullanılmalıdır. Kaspersky'nin uç nokta güvenliği çözümlerinde yer alan Exploit Prevention bileşeni, ilgili yama uygulanmamış olsa bile veya henüz bir yaması bulunmayan sıfır gün güvenlik açıkları söz konusu olduğunda dahi güvenlik açıklarından yararlanan kodun çalışmasını engellemektedir. *Araştırma, Endonezya'nın Bali kentinde düzenlenen Security Analyst Summit 2026'da sunuldu.
