BlackX UEFI Bootkit: Orta Asya Diplomatik Kurumlarını Hedef Alan Yeni Siber Tehdit

Orta Asya'daki diplomatik kuruluşlar, BlackX adı verilen gelişmiş bir UEFI bootkit saldırısının hedefi oldu. Kaspersky'nin bu hafta yayımladığı teknik rapora göre söz konusu faaliyet, 2026 yılının başında Tacikistan, Özbekistan ve Türkmenistan'daki diplomatik yapıları seçerek gerçekleştirildi. Araştırmacılar, saldırının arkasında Çin bağlantılı devlet destekli bir tehdit grubu olan APT41'in parmağı olduğunu değerlendiriyor.
BlackX'in temel amacı, Microsoft Windows'un başlatma savunmalarını ve üçüncü taraf güvenlik çözümlerini devre dışı bırakarak hedef sistemlerde uzun vadeli ve gizli bir erişim sağlamak. Kötü amaçlı yazılım, 2022 yılının sonlarında siber suç forumlarında reklam edilmeye başlayan ve ESET tarafından Mart 2023'te varlığı resmi olarak doğrulanan kötü şöhretli BlackLotus bootkit'inin güncellenmiş bir versiyonu olarak değerlendiriliyor.

CVE-2022-21894: Yamadan Sonra Bile İşe Yarayan Açık​

BlackX, "Baton Drop" olarak da bilinen CVE-2022-21894 güvenlik açığını sömürüyor. Bu açık, Secure Boot bypass zafiyeti olarak tanımlanıyor ve CVSS puanı 4.4. Açığın başarıyla istismar edilebilmesi için saldırganın hedef sistemde yönetici ayrıcalıklarına ya da fiziksel erişime sahip olması gerekiyor. Microsoft, konuya ilişkin daha önce yaptığı açıklamada bu bootkit'in bir ilk aşama yükü ya da ilk erişim vektörü olmadığını, yalnızca sisteme zaten ayrıcalıklı erişim sağlanmış olduğunda konuşlandırılabildiğini vurgulamıştı.
Asıl kritik nokta şu: Tehdidi tamamen bertaraf etmek, yalnızca en son güncellemeyi yüklemekle mümkün değil. Kuruluşların ayrıca "Windows Production PCA 2011" sertifikasını Secure Boot UEFI Yasaklı Listesi'ne (DBX) eklemek gibi manuel adımları da uygulaması gerekiyor. Kaspersky araştırmacıları Georgy Kucherin, Vladimir Nestor ve Vasily Berdnikov, bu sertifikanın 19 Ekim 2026'da süresi dolmasına karşın sertifika engellenmediği sürece savunmasız ikili dosyaların yüklenmeye devam ettiğini belirtti. Araştırmacılara göre tehdit aktörü, çok az sayıda kuruluşun bu manuel aktivasyon adımının önemini kavradığını hesaba katarak BlackLotus'u tersine mühendislikle çözümlemeye ya da kaynak kodunu başka bir taraftan satın almaya yatırım yaptı.

Kurulum Süreci ve Teknik Altyapı​

Saldırganlar, kurban ağlarına belirsiz bir yöntemle sızdıktan ve yönetici ayrıcalıkları elde ettikten sonra BlackX'i devreye sokuyor. Bootkit kurulumu için iki dosya sisteme bırakılıyor: inst.exe adlı bir yükleyici çalıştırılabilir dosyası ve kurulum için gereken dosyalar ile dizileri içeren şifreli, uzantısız bir dosya olan PVMDIJGKAX2. Yükleyici, komut satırından RC4 şifre çözme anahtarıyla birlikte başlatılıyor. Ardından hem sistem hem de UEFI bölümlerine ek dosyalar bırakılarak CVE-2022-21894 açığı, BlackLotus'takine "çarpıcı biçimde benzer" bir şekilde istismar ediliyor.
Nihai hedef, virüslü sistemlerde isteğe bağlı EFI dosyaları yüklemek ve Secure Boot'a müdahale etmek amacıyla Makine Sahibi Anahtarları'nı (MOK) kurmak. Güvenlik açığının ardından iletilen UEFI yükü, Windows çekirdeğine kötü amaçlı bir sürücü enjekte ediyor. Bu sürücü, "Wenjiang District Mingyu Network Technology Service Studio" adlı bir şirkete ait sertifikayla imzalanmış; ancak söz konusu sertifika daha sonra yayıncısı tarafından iptal edildi.

Siber Casusluk Araçları ve C2 Altyapısı​

Sürücü, uç nokta güvenlik yazılımlarının işleyişini bozmaya çalışıyor. İlginç bir ayrıntı olarak bazı yetkisiz değişikliklerin yalnızca Kaspersky veya Avast ürünleri sistemde mevcutsa çalıştırılacak şekilde tasarlandığı görüldü; ancak Kaspersky'nin analizi bu rutinlerin etkisiz olduğunu ortaya koydu. Sürücü aynı zamanda siber casusluk amacıyla kullanıcı modu yükleri de bırakıyor.
Gözlemlenen iki farklı yük öne çıkıyor: Birincisi, Google Drive, OneDrive ve Yandex.Disk'i komuta-kontrol (C2) altyapısı olarak kullanan, ek .NET yükleri iletebilen ve sistem bilgisi ile ilgi çekici dosyaları toplayabilen bir uzaktan erişim trojanı. İkincisi ise meşru googleupdate.exe ikili dosyası tarafından yan yüklenen OxiDLLRunner adlı kötü amaçlı bir DLL. Bu DLL, "archivetj[.]com" adresiyle iletişim kurarak ek DLL eklentileri alan ve çalıştıran bir Rust yükünü şifrelenmiş biçimde barındırıyor.

APT41 Bağlantısı ve FishMonger İzleri​

BlackX ile APT41 arasındaki bağlantı, ESET'in Haziran 2026'da yayımladığı bir rapora dayanıyor. Bu rapor, APT41 çatısı altında faaliyet gösterdiği değerlendirilen FishMonger'ın (Aquatic Panda ve Earth Lusca olarak da izleniyor) 2023-2024 yılları arasında Honduras, Tayvan, Tayland ve Pakistan'daki devlet kuruluşlarını hedef alan saldırılarda SprySOCKS adlı bir Windows arka kapısı kullandığını belgeledi. ESET ayrıca bazı arka kapı sürümlerinin BlackLotus ile ilişkili bir diğer güvenlik açığı olan CVE-2023-24932'yi istismar eden bir UEFI bootkit bileşeni içerebileceğine dair sınırlı göstergeler bulduğunu belirtti.
BlackX ile FishMonger'ın kullandığı çekirdek implantında "xdd" dizisinin ortak olarak bulunması, bu saldırılarda kullanılan UEFI bootkit'inin BlackX olabileceği ihtimalini güçlendiriyor. Çin kökenli tehdit aktörleri arasında son derece yaygın bir teknik olan DLL yan yüklemenin kullanılması da Çin bağlantısına işaret eden ikinci önemli ipucu olarak değerlendiriliyor. BlackLotus'un kaynak kodu hiçbir zaman kamuya açık alana girmediğinden, BlackX'in arkasındaki aktörlerin orijinal bootkit'i tersine mühendislikle çözümleyip çözümlemediği ya da kaynak kodunu başka bir taraftan satın alıp almadığı bilinmiyor. Kaspersky, APT aktörlerinin siber suç araçlarından fikir ya da kod ödünç aldığının nadiren görüldüğünü vurguladı.

Sıkça Sorulan Sorular​

BlackX bootkit'i tam olarak nedir ve BlackLotus'tan farkı nedir?​

BlackX, 2022 yılının sonlarında siber suç forumlarında ortaya çıkan ve ESET tarafından Mart 2023'te resmi olarak doğrulanan BlackLotus bootkit'inin güncellenmiş bir versiyonu olarak değerlendiriliyor. Her iki araç da CVE-2022-21894 güvenlik açığını istismar ediyor; ancak BlackLotus'un kaynak kodu kamuya açık olmadığından BlackX'in geliştiricilerinin orijinali tersine mühendislikle çözümleyip çözümlemediği ya da kaynak kodunu satın alıp almadığı bilinmiyor.

BlackX hangi ülkelerdeki hangi kuruluşları hedef aldı?​

Kaspersky'nin raporuna göre BlackX, 2026 yılının başında Tacikistan, Özbekistan ve Türkmenistan'daki diplomatik kuruluşları hedef aldı.

Sistemlere yama uygulanmış olmasına rağmen bu saldırı neden hâlâ işe yarıyor?​

CVE-2022-21894 açığını tam anlamıyla kapatmak, yalnızca güncelleme yüklemekle yetinmek yerine "Windows Production PCA 2011" sertifikasını Secure Boot UEFI Yasaklı Listesi'ne (DBX) eklemek gibi manuel adımların da uygulanmasını gerektiriyor. Bu adımı gerçekleştirmeyen kuruluşlarda savunmasız ikili dosyalar yüklenmeye devam ediyor; sertifikanın 19 Ekim 2026'da süresi dolmuş olması da bu durumu değiştirmiyor.

BlackX hangi casusluk araçlarını kullanıyor?​

BlackX, iki farklı kullanıcı modu yükü ilettiği gözlemlendi: Google Drive, OneDrive ve Yandex.Disk'i C2 altyapısı olarak kullanan bir uzaktan erişim trojanı ile meşru googleupdate.exe dosyası tarafından yan yüklenen ve "archivetj[.]com" adresiyle iletişim kuran OxiDLLRunner adlı kötü amaçlı bir DLL.

BlackX ile APT41 arasındaki bağlantı nasıl kuruldu?​

ESET'in Haziran 2026 tarihli raporu, APT41 bünyesindeki FishMonger grubunun benzer saldırılarda SprySOCKS arka kapısını kullandığını ve bazı sürümlerin UEFI bootkit bileşeni içerebileceğini ortaya koydu. Bunun yanı sıra BlackX ile FishMonger'ın çekirdek implantında ortak "xdd" dizisinin bulunması ve Çin kökenli aktörler arasında yaygın olan DLL yan yükleme tekniğinin kullanılması, Kaspersky'nin APT41 atfını destekleyen başlıca göstergeler arasında yer alıyor.