BlackX UEFI bootkit'i: Baton Drop atlatması tam yamalı Windows sistemlerine nasıl ulaşıyor
Kaspersky'nin Global Research and Analysis Team (GReAT) ekibindeki araştırmacılar, tam yamalı Windows makinelerinde işletim sisteminin altına yerleşen bir UEFI bootkit'i olan BlackX hakkında ayrıntıları yayımladı. Araştırmacılar implantı Orta Asya'daki diplomatik kuruluşlara yönelik bir casusluk kampanyasıyla ilişkilendiriyor ve orta düzeyde güvenle APT41'e atfediyor; The Hacker News ise implantın “Baton Drop” (CVE-2022-21894) olarak izlenen Secure Boot atlatmasını kötüye kullandığını aktarıyor. Bu açığın yaması, çoğu yöneticinin hiç uygulamadığı elle bir adım gerektirdiğinden, 2022'de yamalanmış bir güvenlik açığı firmware düzeyinde yeniden işe yarar hale geliyor.
BlackX nedir
BlackX bir bootkit: Windows'a içeriden saldırmak yerine önyükleme sürecini manipülle eder, böylece kodu işletim sistemi yüklenmeden önce çalışır. Kaspersky araştırmacıları onu, aynı açıktan yararlanmasıyla bilinen daha eski bootkit BlackLotus'a benzetiyor; The Hacker News ise BlackX'i bu soyağacın güncellenmiş bir sürümü olarak nitelendiriyor. Karşılaştırma önemli, çünkü BlackLotus Secure Boot atlatmalarının teorik olmadığını gösterdi: çalışan bir bootkit var olduktan sonra, kullanıcıların açık sandığı koruma sessizce etkisiz hale getirilebilir.Baton Drop atlatması
CVE-2022-21894, bir makinede yönetici erişimi olan – ya da kısa süreli fiziksel erişim elde eden – bir saldırganın kendi anahtarlarını kaydedip önyükleme sırasında imzasız kod yüklemesine izin veriyor. Microsoft 2022'de bir düzeltme yayımladı ama yama tek başına işi bitirmiyor: savunmasız önyükleme yöneticilerinin ayrıca geri çekilmesi gerekiyor ve bu adım elle uygulanmalı. Atlandığı sistemler, tüm Windows güncellemeleri kurulu olsa bile sömürülebilir kalıyor; Aviatrix'in threat research ekibi bunu kampanyanın analizinde açıklıyor.“Microsoft'un CVE-2022-21894 yaması, savunmasız 'Windows Production PCA 2011' sertifikasını otomatik olarak geri çekmiyor – yöneticilerin yamayı uyguladıktan sonra Secure Boot geri çekimini elle tetiklemesi gerekiyor.” – Aviatrix tehdit araştırmacılarıİlgili bir ayrıntı kolayca yanlış okunuyor. Savunmasız önyükleme yöneticilerini Microsoft'un güven deposuna bağlayan “Windows Production PCA 2011” sertifikasının süresi 19 Ekim 2026'da doldu. Araştırmacılar, sürenin dolmasının tek başına hiçbir şeyi düzeltmediği uyarısında: savunmasız ikili dosyalar, açıkça geri çekilmedikleri sürece yüklenmeye devam ediyor. Önemli olan takvim değil, geri çekim.
İşletim sisteminin altında bir casusluk kampanyası
Kaspersky'ye göre BlackX, 2026 başında Tacikistan, Özbekistan ve Türkmenistan'daki diplomatik kuruluşlara karşı kullanıldı. Şirket kampanyayı orta düzeyde güvenle Çin destekli bir aktör olan APT41'e bağlıyor; Aviatrix de aynı değerlendirmeye katılarak grubun Brass Typhoon olarak da izlendiğini belirtiyor. Mahkeme kararı olmayan her atıf gibi, bu etiket de araştırmacıların kanıtlara bakışını tanımlar, yerleşmiş bir olguyu değil. Zincirin kendisi klasik başlıyor: saldırganların yönetici erişimi gerekiyor, ardından kendi anahtarlarını kaydedip bootkit'i firmware'in çalıştıracağı yere yerleştiriyorlar. Oradan implant, o zamandan beri geri çekilmiş bir sertifikayla imzalanmış bir çekirdek sürücüsü yüklüyor. Kaspersky'nin analizine göre sürücü, güvenlik yazılımının işlem, iş parçacığı ve kayıt defteri geri çağrılarını söküyor ve olay izlemeye müdahale ediyor; bu da enfekte makinelerdeki güvenlik araçlarını fiilen körleştiriyor.- Bootkit, çoğu endpoint aracının hiç incelemediği bir katmanda, işletim sisteminin altında kalıcı oluyor.
- Bir çekirdek sürücüsü, geri çağrıları kaldırıp izlemeye müdahale ederek güvenlik araçlarını devre dışı bırakıyor ve savunuculara eksik bir tablo bırakıyor.
- Son yük, komut kanalını Google Drive, OneDrive ve Yandex.Disk gibi meşru bulut depolama hizmetlerine saklayan uzaktan erişim truvalı.
- Araştırmacılar, DLL side-loading yoluyla teslim edilen ve analize direnmek için gizlenen yükleyici bileşenler gördü.
Yeniden kurulumdan sağ çıkan şey
Savunucular ve ev laboratuvarı işletenler için pratik sonuç rahatsız edici ama basit: Windows'u yeniden kurmak bir bootkit'i güvenilir biçimde kaldırmıyor. İmplant EFI sistem bölümünde yaşıyor ve sıradan bir yeniden kurulum o bölümü silmeyebilir ya da içindeki önyükleme ikili dosyalarını geri yüklemeyebilir. Bir makine, yeni ve tam güncel bir Windows'a açılabilir ve yine de önce saldırgan kodunu yükleyebilir. Net olalım: bu implantlar kendi kendine yayılmaz – saldırganın önce yönetici ya da fiziksel erişimi olması gerekir – ama bir kez yerleştikten sonra “yeniden kur” refleksi, göründüğü kadar tertemiz bir sayfa değil.Gerçekten kontrol etmeye değer olanlar
- Secure Boot'un açık olduğunu doğrulayın (Windows'ta msinfo32, Secure Boot State'i gösterir).
- Güncellemelerin hallettiğini varsaymak yerine savunmasız önyükleme yöneticilerini geri çekmek için Microsoft'un yönergesini uygulayın; Baton Drop yaması bu elle geri çekme adımını gerektiriyor.
- Çift önyüklemeli makinelerde ya da ev laboratuvarlarında mokutil ile kayıtlı Machine Owner Keys'i gözden geçirin ve sizin oluşturmadığınız girdileri kaldırın.
- Sessizce açılmamaya başlayan bir güvenlik ürünü olay olarak ele alın, hata olarak değil – bu sürücünün işi tam olarak güvenlik araçlarını körlemek.
- Bir makineden gerçekten şüpheleniliyorsa basit bir yeniden kuruluşa güvenmek yerine diski yeniden bölümlendirin ya da firmware'i yeniden yazın; kalıcılığın noktası EFI sistem bölümÜdür.