Kaspersky, diplomatik kurumları hedefleyen BlackX bootkitini inceledi

Kaspersky, Orta Asya’daki diplomatik kurumlara yönelik bir kampanyada BlackX adlı UEFI bootkitini tespit ettiğini açıkladı. Araştırma, işletim sistemi başlamadan önce çalışan tehditlere karşı güncelleme ve güvenli önyükleme yapılandırmasının önemini gösteriyor.

Dji Banner Inside Article - 728x90

Önce yönetici erişimi ele geçiriliyor

BlackX, Kaspersky’nin 2026 başında izlediği hedefli saldırılarda tespit edildi. Şirket, zararlının BlackLotus ile benzerlikler taşıdığını ve Baton Drop olarak bilinen güvenli önyükleme zafiyetinden yararlandığını bildiriyor. Bootkit, saldırganın uzaktan tek adımda bütün bilgisayarlara yerleştirebildiği bir araç olarak anlatılmıyor.

Araştırmanın önemli ayrıntısı, saldırganların bootkiti kurmadan önce hedef ağları ihlal edip yönetici yetkileri elde etmiş olması. Bu nedenle ilk erişim, ayrıcalıklı hesapların korunması ve olayın erken fark edilmesi savunmanın önemli parçaları. İşletim sisteminden önce çalışan bileşenler ise saldırının kalıcılık ve görünürlük boyutunu ağırlaştırabiliyor.

Güvenli önyükleme ve güncelleme zinciri

Secure Boot, açılışta güvenilir yazılım zincirinin denetlenmesine yönelik bir koruma. BlackX araştırması, bu zincirin eski ve savunmasız bileşenlerle ilişkili risklerini ele alıyor. Microsoft’un yayımladığı düzeltmelerin yanı sıra ilgili dağıtım ve yapılandırma adımlarının tamamlanması gerektiği vurgulanıyor; yalnızca bir güncellemenin adını görmek her durumda aynı koruma düzeyini göstermiyor.

Kaspersky, kampanyadaki yüklerin güvenlik yazılımlarının çalışmasını bozmayı amaçladığını bildiriyor. Bazı girişimlerin güvenlik çözümlerince engellendiği de belirtiliyor. Haberin konusu saldırının teknik savunma boyutu; zararlının kurulumu veya korumaların nasıl aşılacağına yönelik işlem adımları burada yer almıyor.

İlişkilendirme kesin hüküm değil

Şirket, kampanyayı orta güven düzeyiyle APT41 ile ilişkilendiriyor. Bu ifade araştırmacıların teknik bulgulara dayanan değerlendirmesi; kesin adli tespit olarak okunmamalı. Raporda Google Drive, OneDrive ve Yandex Disk gibi hizmetleri kullanan ek casusluk bileşenleri de ele alınıyor. Meşru bir bulut hizmetinin kötüye kullanılması, hizmet sağlayıcısının ihlal edildiği anlamına gelmiyor.

Araştırma, Bali’deki Security Analyst Summit 2026 kapsamında paylaşıldı. Kurumlar açısından öne çıkan başlıklar; yönetici erişimlerini sınırlandırmak, üreticinin güncelleme yönergelerini tamamlamak ve önyükleme bütünlüğünü olay müdahalesinin parçası olarak incelemek. Haberdeki görsel, tehdidi anlatan bülten illüstrasyonudur.

Kaynaklar ve ayrıntılar: Securelist BlackX araştırması.