BlackX bootkit’i tüm yamaları yüklü Windows bilgisayarlarına bulaştı

BlackX’in bulaştığı kurumlar, Microsoft’un 2022, 2023 ve 2024’te yayımladığı güncellemelerin hepsini yüklemişti. Buna rağmen bootkit, Windows tam yüklenmeden ve birçok güvenlik savunması devreye girmeden önce kötü amaçlı kod çalıştırabildi. Bootkit, bilgisayarın açılış sürecine yerleşen kötü amaçlı yazılım türüne verilen addır.

Benzer bir saldırı 2023’te BlackLotus ile görülmüştü. BlackLotus, güncel Windows 11 sistemlerinde Secure Boot’u aştığı kamuya açık biçimde belgelenen ilk UEFI bootkit’i olmuştu.

Açılış zincirindeki eski sertifika

UEFI, bilgisayar açılır açılmaz çalışan ve donanımı hazırlayıp işletim sistemini başlatan yazılımdır. Secure Boot ise açılış yazılımlarının dijital imzalarını doğrulayarak yetkisiz kodun çalışmasını engelleyen bir UEFI özelliğidir. İşletim sistemini ilk yükleyen önyükleme yöneticisi de imzalanması gereken bileşenlerden biridir.

BlackLotus ve BlackX, önyükleme yöneticisindeki CVE-2022-21894 kodlu Baton Drop mantık hatasını kullanıyor. Bu hata Secure Boot’un aşılmasına ve belirli koşullarda BitLocker şifreleme anahtarlarının ele geçirilmesine olanak tanıyor. Microsoft açığı 2022’de kapattı ama eski, açıklı önyükleme yöneticilerini imzalayan sertifikaya duyulan güveni kaldırmadı.

Microsoft açığı 2022’de kapattı ama eski, açıklı önyükleme yöneticilerini imzalayan sertifikaya duyulan güveni kaldırmadı.

Yüklenen yama tek başına yetmiyor

Microsoft, Mayıs 2023’te Windows UEFI CA 2023 adlı yeni bir imza sertifikası ekledi. 2024’te ise eski Windows Production PCA 2011 sertifikasını Secure Boot’un yasaklı imzalar veritabanına ekleme imkânı sundu. Ancak güncellemeleri almamış milyonlarca cihazın açılamaz hale gelmesi endişesiyle bu iptali zorunlu kılmadı, iptal için yöneticinin ek bir adım atması gerekiyor.

Kaspersky’den bir araştırmacı, sistem yöneticilerinin güncelleme sonrasında ek işlem yapmasının çok alışılmadık olduğunu ve bu talimatların Microsoft’un sitesinde fark edilmesi zor bir yerde durduğunu yazdı. Kaspersky, saldırganların bu yamayı elle etkinleştiren kurumların az olduğunu hesaba katıp BlackLotus’un bir kopyasını geliştirdiğini düşünüyor.

Microsoft’un yönlendirdiği belge

Bir Microsoft temsilcisi, müşterilere iki hafta önce yayımlanan bir Bilgi Bankası makalesindeki yönergeleri izlemelerini önerdi. Bu makalede şimdiye kadarki yamaların Baton Drop saldırılarına karşı tek başına koruma sağlamadığına dair bir uyarı yer almıyor.

Yöneticilerin yapması gereken ek işlem, 2023 tarihli ayrı bir Bilgi Bankası makalesinde anlatılıyor. Ev kullanıcılarının bu konudaki durumu ise net değil.