BleepingComputer’ın Kaspersky araştırmacılarına dayandırdığı habere göre BlackX adlı bir UEFI önyükleme kiti, 2026’nın başlarında keşfedilen bir casusluk kampanyası sırasında Secure Boot korumalarını aşmak için Baton Drop açığından yararlandı. Kampanya, özellikle Tacikistan, Özbekistan ve Türkmenistan’daki Orta Asya diplomatik kurumlarını hedef aldı.
Araştırmacılar, BlackX’in BlackLotus’un da kullandığı Baton Drop (CVE-2022-21894) açığı için benzer bir uygulamadan yararlandığını belirledi. Bu yöntem, özel Machine Owner Keys kayıtlarına izin verip istenen EFI dosyalarını yükleyebiliyor. BlackX farklı bir çekirdek sürücüsü ve devamındaki zararlı bileşenleri kullanıyor. Kaspersky, önyükleme kitinin BlackLotus’un tersine mühendislikle incelenmesinden ya da kaynak kodundan türetilmiş olabileceğini söyledi; araştırmacılar, BlackLotus kaynak kodunun eksik halka açık sızıntısında bulunmayan kodları BlackX’te buldu.
BlackX, artık iptal edilmiş bir sertifikayla imzalanmış kötü amaçlı bir Windows çekirdek sürücüsü yüklüyor. Sürücü güvenlik süreçlerini devre dışı bırakabiliyor, kayıt defteri geri çağırmalarına müdahale edebiliyor ve Event Tracing for Windows sağlayıcılarını kurcalayabiliyor. Bazı işlemler, Kaspersky veya Avast ürünleri algılandığında çalışacak şekilde ayarlanmış. Sürücü ayrıca önyükleme kiti dosyalarına yönelik açma isteklerini yakalayıp bunun yerine Windows Calculator’ı başlatarak dosyaları koruyor.
Kaspersky, tespit edilen tüm kurbanların tamamen güncellenmiş Windows sürümleri kullandığını söyledi. Buna rağmen önyükleme kiti çalıştı; çünkü yöneticiler ek Secure Boot sertifika iptallerini elle uygulamamıştı. Araştırmacılara göre Baton Drop yamasının yüklenmesi bu iptali otomatik olarak başlatmıyor. Ayrıca “Windows Production PCA 2011” sertifikasının 19 Ekim 2026’daki sona erme tarihinin, yöneticiler sertifikayı engelleme listesine eklemedikçe güvenlik açığı bulunan ikili dosyaların yüklenmesini engellemediği uyarısında bulundular.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.