Selamlar,
Kaspersky GReAT, 22 Ekim 2026'da BlackX adlı bir UEFI bootkit kampanyasını duyurdu. Hedef: Tacikistan, Özbekistan ve Türkmenistan'daki diplomatik kurumlar. Orta güvenle APT41 ile ilişkilendiriliyor. Çarpıcı nokta: makineler yamalıydı; sorun, Baton Drop (CVE-2022-21894 / CVE-2023-24932 hattı) iptallerinin elle etkinleştirilmesi gerektiği halde çoğu ortamda hiç açılmamış olması.
Konuda anlatılacaklar
- BlackX nasıl kuruluyor?
- Yük ve kalıcılık
- Neden yama yetmedi?
- Elle Secure Boot iptali (özet)
- Tespit fikirleri
1. Kurulum
Saldırganlar önce yönetici yetkisi alıyor; sonra inst.exe + RC4 ile şifreli PVMDIJGKAX2 paketini bırakıyor. Paket, Baton Drop zinciriyle özel Machine Owner Key (MOK) kuruyor; böylece keyfi EFI dosyaları yüklenebiliyor. BlackLotus ile benzerlik yüksek; kaynak kodu kamuya açık olmadığı için tersine mühendislik veya satın alma ihtimali konuşuluyor.
2. Yük
Bootkit, Windows çekirdeğine sürücü enjekte ediyor. Sürücü güvenlik ürünü geri çağrılarını ve ETW sağlayıcılarını bozmaya çalışıyor; bootkit dosyalarına açılış isteklerini calc.exe'ye yönlendiriyor. Kullanıcı modunda bulut depolama (Google Drive / OneDrive / Yandex.Disk) kullanan bir RAT ve OLLVM ile karartılmış OxiDLLRunner görülmüş. C2 örneği: www[.]archivetj[.]com.
3. Neden yama yetmedi?
Microsoft'un Baton Drop azaltımı "Windows Production PCA 2011" sertifikasını DBX'e eklemeyi gerektiriyor; bu adım varsayılan olarak kapalı. Yönetici kayıt defteri bayrağı + Secure-Boot-Update zamanlanmış görevi ile elle tetiklenmeli. Otomatik "Enforcement Phase" hâlâ ilan edilmemiş. 19 Ekim 2026'da sertifika süresi dolsa da blocklist'e eklenmeden savunmasız ikililer yüklenmeye devam edebiliyor.
4. Elle iptal (kısa hatırlatma)
Microsoft KB5025885 sürecinin özeti (üretimde uygulamadan önce laboratuvarda test edin; geri alınamaz):
- Son güvenlik güncellemelerini kurun.
- BitLocker kurtarma anahtarını yedekleyin.
- DB'ye 2023 UEFI CA ekleyin ve boot manager'ı güncelleyin.
- PCA 2011'i DBX'e ekleyerek iptal edin.
- Kurtarma medyasını yeni boot dosyalarıyla yenileyin.
5. Tespit fikirleri
- EFI bölümünde beklenmeyen dosyalar / MOK değişiklikleri.
- ProgramData\Intel\inst.exe benzeri kurulum artıkları.
- İptal edilmiş "Wenjiang District Mingyu..." sertifikasıyla imzalı sürücüler.
- googleupdate.exe / jcef_helper.exe üzerinden DLL sideloading.
Ortamınızda Secure Boot DBX iptallerini etkinleştirdiniz mi, yoksa hâlâ varsayılan mı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar