Kaspersky araştırmacıları, tüm güvenlik yamaları yüklü Windows cihazlarında Secure Boot korumasını aşarak işletim sistemi başlamadan zararlı kod çalıştıran BlackX adlı yeni bir UEFI bootkit tespit etti.
Üç noktada haber
BlackX ve selefi BlackLotus, Windows önyükleme yöneticisindeki CVE-2022-21894 kodlu Baton Drop açığından yararlanıyor.
Microsoft, 2022'de açığı yamalamasına rağmen milyonlarca cihazın açılamaz hale gelmesini önlemek için eski Windows Production PCA 2011 sertifikasını otomatik olarak iptal etmedi.
Kaspersky, BlackX bulaşan kuruluşların yayımlanan tüm güvenlik güncellemelerini önceden eksiksiz yüklemiş olduğunu belirledi.
Siber güvenlik kuruluşu Kaspersky araştırmacıları, tüm güvenlik yamaları eksiksiz yüklenmiş Windows sistemlerinde Güvenli Önyükleme (Secure Boot) mekanizmasını devre dışı bırakabilen BlackX adlı yeni bir UEFI bootkit zararlısı tespit etti. Cihaz henüz işletim sistemini ve güvenlik savunmalarını başlatmadan önce çalışan zararlı yazılım, Windows çekirdeğine yetkisiz sürücüler yükleyerek saldırganlara donanım düzeyinde gizli ve kalıcı bir kontrol sağlıyor.
Bilgisayar açılır açılmaz donanım bileşenlerini hazırlayan UEFI yazılımı ve bu yapının dijital imzaları denetleyen Secure Boot bileşeni, sistemin güven zincirini oluşturuyor. BlackX ve ilk olarak 2023 yılında belgelenen BlackLotus zararlısı, Windows önyükleme yöneticisindeki "Baton Drop" olarak adlandırılan CVE-2022-21894 kodlu mantık hatasından faydalanıyor. Bu açık, saldırganların işletim sistemi yüklenmeden önce güvenliği aşmasına ve belirli koşullarda BitLocker şifreleme anahtarlarını ele geçirmesine imkân tanıyor.
Microsoft, açığın temelini 2022 yılında yamalamış ve ardından Mayıs 2023'te "Windows UEFI CA 2023" adlı yeni bir imza sertifikasını güvenilir listeye dahil etmişti. 2024 yılında ise eski "Windows Production PCA 2011" sertifikasının yasaklı imzalar listesine alınmasına yönelik bir hafifletme yöntemi yayımlandı. Ancak şirket, gerekli güncellemeyi henüz almamış milyonlarca cihazın açılamaz duruma gelmesini ve kullanılamaz bir kütleye dönüşmesini engellemek amacıyla eski sertifikaların güvenini otomatik olarak iptal etmedi.
Kaspersky araştırmacıları, BlackX bulaşan kurumların yayımlanan tüm yamaları kurduğunu ancak yöneticilerin yamadan sonra ek bir işlem yapma alışkanlığının bulunmadığını vurguluyor. Eski sertifikayı elle iptal etme talimatlarının Microsoft web sitesinde ayrıntılı adımlar arkasında kaldığı belirtilirken, şirketin iki hafta önce paylaştığı Bilgi Bankası yazısında da yamaların tek başına Baton Drop saldırılarını durdurmadığına dair açık bir uyarı yer almıyor. Kılavuzlarda ev kullanıcılarının bu süreçten nasıl etkilendiği de netlik kazanmış değil.
Neden önemli?Sistem yöneticilerinin yamaları kursa dahi eski sertifikaları elle kara listeye alması gerekiyor; aksi halde saldırganlar donanım düzeyinde kalıcı erişim elde edebiliyor.
Cevabı beklenen sorular
- Microsoft'un eski sertifikayı elle iptal etme sürecini ne zaman tüm cihazlar için zorunlu ve otomatik hale getireceği henüz bilinmiyor.
- Bireysel ev kullanıcılarının bu zafiyet karşısındaki net korunma durumunun nasıl şekilleneceği belirsizliğini koruyor.
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
