Kaspersky, Orta Asya'da diplomatik kuruluşlara yönelen BlackX saldırısını saptadı

Kaspersky Global Araştırma ve Analiz Ekibi (GReAT), Microsoft tarafından yayımlanan güvenlik güncellemesinin yetersizliğini kullanarak saldırı düzenleyen, gelişmiş ve yeni bir bootkit (kötü amaçlı yazılım türü) niteliğindeki BlackX'i belirledi. Şirketin açıklamasında aktarıldığı üzere, 2026'nın ilk dönemlerinde Kaspersky güvenlik çözümleri, Orta Asya'da bulunan diplomatik kuruluşlara yönelen bir gelişmiş kalıcı tehdit (APT) saldırısını durdurdu.

Kaspersky GReAT tarafından sonrasında gerçekleştirilen araştırmada, saldırganların Windows işletim sisteminin önyükleme aşamasındaki güvenlik mekanizmalarıyla birlikte çok sayıda üçüncü taraf güvenlik çözümünü aşmak ve kurbanların cihazlarına uzun süre boyunca fark edilmeden erişmek amacıyla geliştirilen, karmaşık yapılı ve güçlü gizlenme yeteneklerine sahip BlackX zararlı yazılımından yararlandığı belirlendi.

Yapılan incelemeyle, BlackX'in, siber suçluların 2022'de karanlık ağda (Dark Web) satışa çıkardığı BlackLotus isimli zararlı yazılımın modernleştirilmiş devamı niteliğini taşıdığı saptandı. Bilgisayarın açılışı sırasında sadece güvenilir yazılımların çalıştırılmasını hedefleyen Secure Boot özelliği, BlackX tarafından aşılabiliyor.

Yazılım, bunu gerçekleştirmek üzere önceden bilinen ve "Baton Drop" adı verilen bir güvenlik açığını kullanıyor. Microsoft söz konusu güvenlik açığını gidermek üzere bir yama yayımlamasına karşın, korumanın tamamen etkinleşmesi için sistem yöneticilerinin bazı yapılandırma işlemlerini elle tamamlaması şart. Söz konusu işlemleri yerine getirmeyen pek çok kuruluş, saldırılar karşısında savunmasız durumda kaldı.

Dolayısıyla saldırganlar, yamanın yüklendiği sistemlerde dahi Baton Drop açığını kullanma olanağı buldu. Kurbanların iç ağlarına girerek Windows sistemlerindeki yönetici yetkilerini elde eden saldırganlar, ardından BlackX bootkit'ini yüksek düzeyde kalıcılık sunan ikincil bir zararlı yazılım olarak çalıştırdı. Saldırganlar, yürüttükleri faaliyetlerin olay müdahale ekiplerince fark edilmesini önlemek amacıyla bootkit bileşenlerini, şifreli dosyalar ve tespitten kaçınmak için özel olarak hazırlanmış yükleyici programlar üzerinden hedef alınan cihazlara taşıdı.

Güvenlik açığının başarıyla kullanılması sonrasında BlackX, güvenlik yazılımlarını etkisizleştirmeyi amaçlayan bir bileşeni devreye sokuyor. Buna karşılık Kaspersky'nin uç nokta koruma çözümü, zararlı yazılımın söz konusu hamlesini durdurdu ve saldırı sonuçsuz kaldı. Güvenlik korumasını etkisizleştirebilmeleri halinde saldırganlar, sonraki adımda Google Drive, OneDrive ve Yandex Disk gibi meşru bulut hizmetlerini kullanarak gizli bilgileri ele geçirmek ve kurbanların faaliyetlerini takip etmek amacıyla geliştirilmiş bir casus yazılımı çalıştıracaktı.

Kaspersky GReAT güvenlik uzmanı Georgy Kucherin, APT gruplarının siber suç dünyasından doğrudan kod ya da fikir ödünç almasına seyrek rastladıklarını, bu yüzden BlackX'in ortaya çıkmasının dikkat çektiğini ifade etti. Kucherin, "Grup, ticari olarak sunulan bir siber suç aracını uyarlayarak Windows'un önyükleme sürecini korumak için tasarlanmış güvenlik mekanizmalarını aşabildi.

Bu hibrit yaklaşım, gelişmiş tehdit aktörlerinin yüksek değer taşıyan ağlar üzerinde kalıcı ve görünmez bir kontrol sağlamak için her şeyi sıfırdan geliştirmesine gerek olmadığını gösteriyor." sözleriyle değerlendirmesini aktardı.