--- title: "BlackX UEFI bootkit, yamalı Windows sistemlerinde Secure Boot'u atlatıyor" url: "https://teknotayf.com/haber/blackx-uefi-bootkit-yamali-windows-sistemlerinde-secure-boot-u-atlatiyor" markdown_url: "https://teknotayf.com/haber/blackx-uefi-bootkit-yamali-windows-sistemlerinde-secure-boot-u-atlatiyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-23 21:50:13" updated: "2026-10-23 19:45:28" category: "Siber Güvenlik" tags: ["Siber Casusluk","Kaspersky","Secure Boot","UEFI Bootkit","APT41"] source: "The Hacker News" --- # BlackX UEFI bootkit, yamalı Windows sistemlerinde Secure Boot'u atlatıyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/blackx-uefi-bootkit-yamali-windows-sistemlerinde-secure-boot-u-atlatiyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Kaspersky'nin raporuna göre Orta Asya'daki diplomatik kuruluşları hedef alan BlackX adlı UEFI bootkit'i, Çin'e bağlı APT41 grubuyla ilişkilendiriliyor. BlackLotus'un güncellenmiş versiyonu olarak değerlendirilen yazılım, CVE-2022-21894 açıklarını manuel iptal adımları yapılmadığı için hâlâ kullanabiliyor. Bootkit, Windows çekirdeğine kötü amaçlı sürücü enjekte edip casusluk yükleri bırakıyor. - **Yayın tarihi:** 2026-10-23 21:50 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Casusluk, Kaspersky, Secure Boot, UEFI Bootkit, APT41 - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/blackx-uefi-bootkit-bypasses-secure.html) ![BlackX UEFI bootkit, yamalı Windows sistemlerinde Secure Boot'u atlatıyor](https://teknotayf.com/assets/uploads/2026/10/72c4a5642c2b1616fe3b117d76a263c1.jpg) Orta Asya'daki diplomatik kuruluşlar, **BlackX UEFI bootkit** adı verilen sofistike yeni bir Birleşik Genişletilebilir Yazılım Arabirimi bootkit'i tarafından hedef alındı. Bu hafta yayımlanan teknik rapora göre faaliyet, 2026'nın başlarında Tacikistan, Özbekistan ve Türkmenistan'daki diplomatik kurumları özellikle hedef aldı ve Çin'e bağlı devlet destekli siber saldırı grubu **APT41** tarafından organize edildiği düşünülüyor. Kaspersky bu değerlendirmeyi raporunda paylaştı. Yazılımın konuşlandırılmasının temel amacı, Microsoft Windows başlatma savunmalarını ve üçüncü taraf güvenlik çözümlerini zayıflatmak, ele geçirilen cihazlara uzun süreli ve gizli erişim sağlamak. BlackX'in, 2022 sonlarında siber suç forumlarında reklamı yapılmaya başlanan ve Mart 2023'te ESET tarafından resmen doğrulanan ünlü bir bootkit olan BlackLotus'un güncellenmiş bir versiyonu olduğu değerlendiriliyor. BlackLotus, işletim sistemi başlamadan önce kötü amaçlı kod yüklemek için CVE-2022-21894 olarak izlenen ve Baton Drop olarak da bilinen artık yama yapılmış Secure Boot atlama açığından yararlanmak üzere tasarlandı. CVSS puanı 4,4 olan bu açıkta başarılı istismar, saldırganın hedef sunucuda yönetici ayrıcalıklarına veya fiziksel erişime sahip olmasına bağlı. Microsoft o dönemde şu notu düşmüştü: "Tehdit aktörünün bu bootkit'i kullanması öncelikle kalıcılık ve savunma atlatma mekanizmasıdır. Bu, ilk aşama yükü veya ilk erişim vektörü değildir ve yalnızca tehdit aktörünün zaten ayrıcalıklı erişimi veya fiziksel erişimi olduğu bir cihaza konuşlandırılabilir." Tehdidi tamamen ortadan kaldırmak, en son güncellemeyi yüklemenin ötesinde ek adımlar gerektiriyor. Bunlar arasında Microsoft'un Secure Boot iptal azaltma önlemlerini manuel olarak uygulamak, örneğin "Windows Production PCA 2011" sertifikasını Secure Boot UEFI Yasak Listesi'ne (DBX) eklemek bulunuyor. Rus siber güvenlik şirketi, saldırganların kuruluşların bu manuel adımları uygulamamış olmasından yararlandığını tespit etti. Bu durum, "yama" uygulanmış sistemlerde bile Baton Drop açığının kullanılmasına olanak tanıyor. Araştırmacılar Georgy Kucherin, Vladimir Nestor ve Vasily Berdnikov şu değerlendirmeyi yaptı: "19 Ekim 2026'da bu sertifika süresi doldu, ancak sertifika kara listeye alınmadıkça savunmasız ikili dosyaların yüklenmesini engellemez." "Bu kampanyanın arkasındaki tehdit aktörünün, az sayıda kuruluşun Baton Drop yaması için manuel etkinleştirmenin önemini fark ettiğini hesaba kattığı muhtemel. Bu nedenle BlackLotus'un nasıl çalıştığını anlamak ve bu bootkit'in bir kopyasını oluşturmak için zaman harcamaya karar verdiklerine inanıyoruz." Saldırganların, kurban ağlarını belirtilmemiş bir yöntemle ihlal ettikten ve yönetici ayrıcalıkları elde ettikten sonra BlackX'i konuşlandırdığı gözlendi. Bootkit'i kurmak için tehdit aktörü aşağıdaki dosyaları bırakıyor: inst.exe, bir yükleyici yürütülebilir dosyası PVMDIJGKAX2, kurulum için gerekli dosyaları ve dizgeleri içeren şifrelenmiş uzantısız bir dosya Yükleyici daha sonra komut satırından "C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1," komutuyla başlatılıyor; burada "Q46F6MDLI3RX2KV1" şifre çözme için kullanılan RC4 anahtarı. İkili dosya ardından **CVE-2022-21894**'ten yararlanmak için hem sistem hem de UEFI bölümlerine ek dosyalar bırakıyor. Bu yöntem BlackLotus'ta kullanılan yönteme "oldukça benzer". Nihai amaç aynı kalıyor: enfekte ana bilgisayarlarda keyfi EFI dosyalarını yüklemek için Machine Owner Keys (MOK) kurmak ve Secure Boot'u engellemek. BlackLotus'un kaynak kodunun hiçbir zaman kamuya açılmamış olması dikkat çekici. Bu durum, BlackX'in arkasındaki tehdit aktörlerinin orijinal bootkit'i tersine mühendislikle elde ettiğini ya da kaynak kodunu başka bir taraftan satın aldığını gösteriyor. Kaspersky şu yorumu yaptı: "Her iki durumda da bu ilginç bir gözlem, çünkü APT aktörlerinin nadiren siber suç aktörlerinden fikir veya kod ödünç aldığını görüyoruz." Açığın istismarını takiben teslim edilen UEFI yükü, Windows çekirdeğine kötü amaçlı bir sürücü enjekte etmek üzere tasarlandı. Sürücü, Wenjiang District Mingyu Network Technology Service Studio adlı bir şirkete ait sertifika ile imzalandı. Sertifika daha sonra verici tarafından iptal edildi. Bring your own vulnerable driver (BYOVD) saldırısında olduğu gibi sürücü, makinede kurulu uç nokta güvenlik yazılımının işleyişini bozmayı deniyor. İlginç bir şekilde bazı yetkisiz değişiklikler yalnızca Kaspersky veya Avast'a ait güvenlik programları mevcutsa çalıştırılabiliyor. Kaspersky'nin analizi bu rutinlerin etkisiz olduğunu ortaya koydu. Güvenlik çözümlerini etkisiz hale getirmeye çalışmakla yetinmeyen sürücü, aynı zamanda siber casusluk için bir kullanıcı modu yükü de bırakıyor. İki farklı yük gözlemlendi: Daha fazla .NET yükü teslim edebilen ve komut ve kontrol için Google Drive, OneDrive ve Yandex.Disk'i kullanarak normal kurumsal iş akışlarına karışan bir uzaktan erişim truva atı. Sistem bilgilerini toplama ve ilgi duyulan dosyaları yükleme yeteneğine de sahip. Meşru "googleupdate.exe" ikili dosyası tarafından sideload edilen OxiDLLRunner adlı kötü amaçlı bir DLL. Bootkit tarafından da teslim edilen bu DLL, "archivetj[.]com" ile iletişim kuran ve daha fazla DLL eklentisi almak ve çalıştırmak üzere tasarlanmış bir Rust yükünü şifre çözüp başlatıyor. BlackX'in APT41 ile bağlantısı, Haziran 2026'da ESET'in yayımladığı bir rapordan geliyor. Raporda 2023-2024 arasında Honduras, Tayvan, Tayland ve Pakistan'daki devlet kurumlarını hedef alan saldırılarda FishMonger'ın SprySOCKS adlı Windows arka kapısını kullandığı belgeleniyor. FishMonger, Aquatic Panda ve Earth Lusca olarak da izleniyor ve APT41 çatısı altında faaliyet gösterdiği değerlendiriliyor. Slovak siber güvenlik şirketi, arka kapının bazı sürümlerinde CVE-2023-24932'yi muhtemelen istismar eden bir UEFI bootkit bileşeni olabileceğine dair "sınırlı işaretler" bulduğunu da belirtti. Bu güvenlik özelliği atlama açığı BlackLotus ile ilişkilendiriliyor. İlginç bir örtüşme, BlackX'te ve FishMonger'ın kullandığı çekirdek implantında "xdd" dizgisinin bulunması. Bu durum, söz konusu saldırılarda kullanılan UEFI bootkit'inin BlackX olabileceği ihtimalini güçlendiriyor. Çin'e yakın hackerlara işaret eden ikinci ipucu ise yükleri dağıtmak için DLL sideloading kullanımı; bu yöntem Çin kökenli tehdit aktörleri arasında son derece yaygın. Kucherin şu değerlendirmeyi yaptı: "Grup, ticari bir suç yazılımı aracını uyarlayarak Windows başlatma süreçlerini korumak için tasarlanmış prosedürleri atlayabilir. Bu hibrit yaklaşım, sofistike rakiplerin yüksek değerli ağlar üzerinde kalıcı, görünmez kontrol sağlamak için tekerleği yeniden icat etmesi gerekmediğini kanıtlıyor." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/blackx-uefi-bootkit-yamali-windows-sistemlerinde-secure-boot-u-atlatiyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.