Kaspersky, Orta Asya Diplomatik Kuruluşlarını Hedef Alan BlackX Bootkit’ini Tespit Etti

Saldırı Kampanyası ve Tehdit Aktörü

Kaspersky Global Araştırma ve Analiz Ekibi (GReAT), 2026 yılının başlarında Orta Asya’daki diplomatik kuruluşları hedef alan gelişmiş kalıcı tehdit (APT) saldırısını engellemiştir. Yapılan analiz, saldırı kampanyasının orta düzeyde bir kesinlikle APT41 grubuna atfedilebileceğini ortaya koymaktadır.

BlackX Bootkit: Mimarisi ve Teknolojik Özellikleri

Kaspersky tarafından tespit edilen BlackX, kötü şöhretli BlackLotus bootkit’inin modernize edilmiş yeni nesil bir versiyonudur. İnceleme bulgularına göre BlackX, 2022 yılında siber suçlular tarafından dark web’de satışa sunulan BlackLotus’u temel alınarak geliştirilmiştir.

Zararlı yazılım, aşağıdaki teknik yeteneklere sahiptir:

• Windows işletim sisteminin ön yükleme sürecindeki güvenlik mekanizmalarını atlatma
• Üçüncü taraf güvenlik çözümlerini devre dışı bırakma yeteneği
• Kurbanların cihazlarına fark edilmeden uzun süre erişim sağlama
• Güvenilir yazılımların çalışmasını sağlamayı amaçlayan Secure Boot özelliğini aşabilme

Saldırı Vektörü: Baton Drop Güvenlik Açığı

BlackX, Microsoft tarafından daha önce bilinen "Baton Drop" olarak adlandırılan bir güvenlik açığını kullanarak Secure Boot mekanizmasını atlatmaktadır. Microsoft söz konusu güvenlik açığına yönelik bir yama yayımlamıştır; ancak korumanın tamamen devreye alınması için sistem yöneticilerinin belirli yapılandırma adımlarını manuel olarak tamamlaması gerekmektedir.

Bu durum, saldırganların yama uygulanmış sistemlerde dahi Baton Drop açığından yararlanabilmesini mümkün kılmıştır. Yapılandırma adımlarını uygulamayan çok sayıda kuruluş, böylelikle savunmasız kalmıştır.

Saldırı Zinciri ve Kalıcılık Mekanizmaları

Saldırganlar, kurbanların iç ağlarına sızıp Windows sistemlerinde yönetici ayrıcalıklarını ele geçirdikten sonra BlackX bootkit’ini yüksek kalıcılık sağlayan ikincil bir zararlı yazılım olarak devreye almıştır.

Kalıcılık sağlamak amacıyla saldırganlar, bootkit bileşenlerini şifrelenmiş dosyalar ve tespit edilmekten kaçacak şekilde özel olarak tasarlanmış yükleyici programlar aracılığıyla hedef cihazlara aktarmıştır. Bu yaklaşım, olay müdahale ekiplerinin saldırı izlerini ortaya çıkarmasını önemli ölçüde güçleştirmektedir.

Güvenlik Çözümlerinin Müdahalesi

Güvenlik açığından başarıyla yararlanılmasının ardından BlackX, güvenlik yazılımlarını devre dışı bırakmaya yönelik bir bileşen çalıştırmaya girişmiştir. Ancak Kaspersky’nin uç nokta koruma çözümü, zararlı yazılımın bu girişimini başarıyla engellemiştir.

Saldırganların güvenlik korumasını devre dışı bırakmayı başarması durumunda, bir sonraki aşamada Google Drive, OneDrive ve Yandex Disk gibi meşru bulut hizmetlerinden yararlanarak gizli bilgileri çalmak ve kurbanların faaliyetlerini izlemek üzere tasarlanmış bir casus yazılım çalıştırılması planlanmış olup, bu aşama başarısız olmuştur.

Tehdidin Stratejik Önemi

Kaspersky GReAT güvenlik uzmanı Georgy Kucherin, gelişmiş tehdit aktörlerinin siber suç dünyasından elde edilen ticari araçları uyarlayarak kullandığının nadir görüldüğünü, BlackX örneğinin ise bu eğilimin önemli bir kanıtı olduğunu belirtmiştir. Bu hibrit yaklaşım, APT gruplarının yüksek değer taşıyan diplomatik ağları hedef almada kullanabilecekleri sofistike araçları geliştirme kapasitelerini ortaya koymaktadır.