BlackX Bootkit Tehdidi Ortaya Çıktı: Secure Boot Koruması Aşılıyor, Güvenlik Yazılımları Hedef Alınıyor

28 Ekim 2026

Orta Asya’daki diplomatik kuruluşları hedef alan yeni bir siber saldırı kampanyasında, Windows’un açılış sürecindeki güvenlik mekanizmalarını aşabilen BlackX adlı gelişmiş zararlı yazılım tespit edildi. Daha önce bilinen BlackLotus bootkit’inin modernize edilmiş bir devamı olarak değerlendirilen BlackX, güvenlik yazılımlarını devre dışı bırakmayı ve hedef sistemlerde uzun süre gizlice kalmayı amaçlıyor.

2026 yılının başlarında tespit edilen saldırı kampanyası, Microsoft’un güvenlik güncellemesine rağmen tam olarak devreye alınmamış koruma mekanizmalarının sistemleri savunmasız bırakabileceğini gösteriyor. Araştırmacılar, saldırının arkasında APT41 grubunun bulunabileceğini değerlendiriyor.

BlackX, Windows’un Secure Boot korumasını nasıl aşıyor?

BlackX, bilgisayar açılırken yalnızca güvenilir yazılımların çalışmasını sağlamayı amaçlayan Secure Boot güvenlik özelliğini aşmak için daha önce bilinen ve “Baton Drop” olarak adlandırılan bir güvenlik açığından yararlanıyor.

Microsoft, söz konusu güvenlik açığı için bir yama yayımlamış olsa da korumanın tam olarak etkinleştirilmesi için sistem yöneticilerinin belirli yapılandırma adımlarını manuel olarak tamamlaması gerekiyor. Bu adımların uygulanmadığı sistemlerde, güncelleme yapılmış olsa bile saldırganlar güvenlik açığından yararlanabiliyor.

Bu durum, yalnızca güvenlik güncellemelerini yüklemenin her zaman yeterli olmayabileceğini ortaya koyuyor. Kurumların güncellemelerin yanı sıra gerekli yapılandırmaların da eksiksiz uygulandığından emin olması gerekiyor.

BlackLotus’un devamı olan BlackX, sistemlerde kalıcı erişim hedefliyor

BlackX’in, 2022 yılında karanlık ağda satışa sunulan BlackLotus adlı zararlı yazılımın modernize edilmiş bir devamı olduğu belirtiliyor. Yeni bootkit, Windows sistemlerinde yönetici ayrıcalıklarını ele geçiren saldırganların cihazlarda kalıcı erişim elde etmesine yardımcı oluyor.

Saldırganlar, zararlı bileşenleri şifrelenmiş dosyalar ve tespit edilmekten kaçınacak şekilde tasarlanmış özel yükleyiciler aracılığıyla hedef sistemlere aktarıyor. Böylece güvenlik ekiplerinin saldırıyı fark etmesini ve müdahale etmesini zorlaştırmayı amaçlıyor.

BlackX’in bir diğer önemli özelliği ise güvenlik yazılımlarını devre dışı bırakmaya yönelik bir bileşen içermesi. Ancak incelenen saldırıda uç nokta koruma yazılımı bu girişimi engelledi ve saldırının ilerlemesini durdurdu.

Başarılı olsaydı bulut hizmetleri üzerinden casus yazılım çalıştıracaktı

Saldırganlar güvenlik korumalarını devre dışı bırakmayı başarsaydı, sonraki aşamada gizli bilgileri çalmak ve hedeflerin faaliyetlerini izlemek üzere tasarlanmış bir casus yazılım çalıştırmayı planlıyordu.

Bu aşamada Google Drive, Microsoft OneDrive ve Yandex Disk gibi meşru bulut hizmetlerinden yararlanılması öngörülüyordu. Yaygın kullanılan platformların saldırı zincirinde yer alması, kötü amaçlı faaliyetlerin normal ağ trafiği arasında gizlenmesini kolaylaştırabilecek bir yöntem olarak öne çıkıyor.

Araştırmacılar, saldırı kampanyasının APT41 grubuyla bağlantılı olabileceğini değerlendiriyor. Bununla birlikte, bu atıf orta düzeyde bir kesinlik taşıyor; dolayısıyla saldırının arkasındaki aktöre ilişkin değerlendirme kesinleşmiş bir kimlik tespiti olarak görülmemeli.

“APT grupları ticari siber suç araçlarını uyarlayabiliyor”

Güvenlik araştırmacısı Georgy Kucherin, BlackX’in ortaya çıkışının gelişmiş tehdit gruplarının farklı kaynaklardan yararlanma eğilimini gösterdiğini belirtti.

Kucherin, konuyla ilgili şu değerlendirmede bulundu:

“BlackX’in ortaya çıkışı dikkat çekici. Çünkü APT gruplarının, bu örnekte BlackLotus’ta olduğu gibi, doğrudan siber suç dünyasından kod veya fikirler ödünç aldığı durumlarla nadiren karşılaşıyoruz. Grup, ticari olarak sunulan bir siber suç aracını uyarlayarak Windows’un önyükleme sürecini korumak için tasarlanmış güvenlik mekanizmalarını aşabildi. Bu hibrit yaklaşım, gelişmiş tehdit aktörlerinin yüksek değer taşıyan ağlar üzerinde kalıcı ve görünmez bir kontrol sağlamak için her şeyi sıfırdan geliştirmesine gerek olmadığını gösteriyor.”

BlackX tehdidine karşı hangi önlemler alınmalı?

BlackX vakası, özellikle kritik sistemleri ve hassas bilgileri koruyan kuruluşların önyükleme güvenliğine daha fazla önem vermesi gerektiğini gösteriyor. Güvenlik uzmanlarının önerdiği başlıca önlemler şöyle:

• Baton Drop güvenlik açığına yönelik korumaları tamamlayın: Microsoft’un yayımladığı güncellemeleri yüklemenin yanı sıra gerekli manuel yapılandırma adımlarını da uygulayın.
• Yönetici ayrıcalıklarını sınırlandırın: Kullanıcıların ve uygulamaların yönetici yetkilerine gereksiz yere sahip olmasını önleyin.
• Ürün yazılımı bütünlüğünü izleyin: Bilgisayarların açılış sürecinde ve firmware katmanında gerçekleşebilecek şüpheli değişiklikleri takip edin.
• Uç nokta korumasını güçlendirin: Güvenlik yazılımlarını devre dışı bırakmaya veya güvenlik açıklarından yararlanmaya yönelik girişimlerin engellenmesini sağlayın.

Uç nokta güvenlik çözümlerinde bulunan Exploit Prevention gibi teknolojiler, ilgili yama uygulanmamış olsa bile veya henüz yaması bulunmayan sıfır gün güvenlik açıkları söz konusu olduğunda, güvenlik açıklarından yararlanan kodun çalışmasını engellemeye yardımcı olabiliyor.

BlackX saldırısı, güncel güvenlik yazılımlarının yanında doğru yapılandırmanın da kritik önem taşıdığını ortaya koyuyor. Özellikle Windows’un önyükleme sürecini hedef alan bootkit’ler, sistem açılışından itibaren kalıcılık sağlamayı amaçladıkları için kurumların yalnızca işletim sistemi düzeyindeki korumalarla yetinmemesi gerekiyor.

Araştırmanın tamamına Securelist üzerinden ulaşabilirsiniz. (https://securelist.com/uefi-bootkit-blackx/121539/)