BlackX Bootkit, Baton Drop Açığını Kullanarak Secure Boot'u Aşmayı Başardı

Yeni bir UEFI bootkit olan BlackX, 2026 yılının başlarında gerçekleştirilen bir istihbarat kampanyasında Baton Drop açığını kullanarak Secure Boot'u aştı ve Kaspersky ile Avast'ın güvenlik çözümlerini devre dışı bırakacak kötü amaçlı bir sürücü yükledi.

Bu operasyonun, APT41 olarak bilinen ve Çin devlet destekli bir tehdit grubu olan Brass Typhoon, Wicked Panda ve Barium ile ilişkilendirildiği belirtiliyor. BlackX, özellikle Orta Asya'daki diplomatik ajansları hedef alırken, Tacikistan, Özbekistan ve Türkmenistan gibi ülkeler ön plana çıkıyor.

Kaspersky araştırmacıları, BlackX bootkit'ini inceleyerek, BlackLotus ile benzerlikler tespit etti. BlackLotus, Ekim 2022'den bu yana hacker forumlarında dolaşan bir bootkit ve Baton Drop açığını (CVE-2022-21894) kullanarak Secure Boot korumasını aşmayı başarmıştı. ESET, Mart 2023'te BlackLotus'un Baton Drop'u kullandığını doğrulamıştı.

Kaspersky'ye göre, BlackX'in açığı kullanma şekli, BlackLotus'un yöntemine oldukça benziyor. Bu sayede saldırgan, özel Makine Sahibi Anahtarları (MOK) kaydedip, Secure Boot korumalarını aşmak için rastgele EFI dosyaları yükleyebiliyor. Ancak BlackX, BlackLotus'tan farklı olarak farklı bir çekirdek sürücüsü ve takip eden yükler kullanıyor.

BlackX, Wenjiang District Mingyu Network Technology Service Studio adlı bir kuruluşa ait, artık iptal edilmiş bir sertifika ile imzalanmış kötü amaçlı bir Windows çekirdek sürücüsü enjekte ediyor. Bu sürücü, güvenlikle ilgili süreçleri devre dışı bırakıyor ve Windows için Olay İzleme (ETW) sağlayıcılarıyla oynayarak izlemeyi engelliyor.

Araştırmacılar, bazı müdahale prosedürlerinin yalnızca Kaspersky veya Avast ürünlerinin hedefte tespit edilmesi durumunda çalışacak şekilde yapılandırıldığını belirtiyor. Bu mekanizma, şirketin çözümlerine karşı etkisiz kalıyor. Sürücü, bootkit'in dosyalarını koruyarak, kullanıcı taleplerini engelliyor ve bunun yerine Windows Hesap Makinesi'ni başlatıyor.

Kaspersky, BlackX'in kurbanlarının tamamının güncellenmiş bir Windows sürümü kullandığını ancak bootkit'in başarılı olduğunu, çünkü yöneticilerin ek Secure Boot iptallerini manuel olarak etkinleştirmediğini belirtiyor. Baton Drop açığı için hazırlanan yamanın, savunmasız UEFI bileşenlerini imzalamak için kullanılan "Windows Production PCA 2011" sertifikasını iptal etme amacı taşıdığı ifade ediliyor. Ancak bu iptalin otomatik olarak gerçekleşmediği ve kullanıcının bunu manuel olarak tetiklemesi gerektiği vurgulanıyor.

Araştırmacılar, güncelleme sürecindeki bu boşluğun, saldırganın avantajına kullanıldığını ve "BlackLotus'un nasıl çalıştığını anlamak ve bu bootkit'in bir kopyasını oluşturmak için zaman harcamaya karar verdiğini" düşünüyor.