Windows'ta 'Baton Drop' Tehlikesi: Güncellemeler Yeterli Değil

Windows işletim sistemlerinde, güvenlik güncellemelerinin yüklü olmasına rağmen sistemin temel açılış mekanizmalarını devre dışı bırakabilen BlackX isimli gelişmiş bir zararlı yazılım tespit edildi. Kaspersky Global Araştırma ve Analiz Ekibi (GReAT) tarafından ortaya çıkarılan bu tehdit, Microsoft'un daha önce yayımladığı bir güvenlik güncellemesindeki eksik uygulama sürecinden faydalanıyor.

Siber güvenlik dünyasında 'Baton Drop' olarak bilinen CVE-2022-21894 açığını kullanan yazılım, bilgisayarın işletim sistemi başlamadan önce devreye girerek Secure Boot korumasını etkisiz hale getirebiliyor. BlackX'in en dikkat çekici yönü, yalnızca bir dosya gönderimiyle değil, kurumların iç ağlarına sızıldıktan sonra yönetici yetkileri ele geçirilerek sisteme yerleştirilmesi.

Saldırganlar, şifrelenmiş dosyalar ve özel yükleyiciler kullanarak yazılımın varlığını gizli tutmayı başarıyor. Windows'un temel katmanlarına sızan bu zararlı yazılım, güvenlik araçlarının faaliyetlerini izlemesini sağlayan mekanizmaları bozarak antivirüs programlarını devre dışı bırakmayı hedefliyor.

Kaspersky'nin uç nokta koruma çözümleri, incelenen bir vakada bu girişimi durdurarak saldırganların casusluk faaliyetlerine geçmesini engelledi. Saldırıların hedefinde 2026 yılının başlarında Orta Asya'daki diplomatik kurumların bulunduğu belirlendi.

Tacikistan, Özbekistan ve Türkmenistan'daki kuruluşlara yönelik gerçekleştirilen bu girişimlerin, APT41 olarak bilinen gelişmiş tehdit grubuyla bağlantılı olabileceği değerlendiriliyor. Saldırganların, güvenlik önlemlerini tamamen aşmaları durumunda Google Drive, Microsoft OneDrive ve Yandex Disk gibi yaygın bulut hizmetlerini kullanarak gizli verileri sızdırmayı planladıkları ortaya çıktı.

Bulut platformlarının kendisinde bir açık bulunmamasına rağmen, bu hizmetlerin meşru görünümü saldırganlar tarafından kötüye kullanılıyor. Araştırmalar, BlackX'in 2022 yılında karanlık ağda satışa sunulan 'BlackLotus' isimli zararlı yazılımla teknik benzerlikler taşıdığını gösteriyor.

Siber suç piyasasındaki araçların, gelişmiş casusluk operasyonlarında yeniden yapılandırılarak kullanılması uzmanlar tarafından dikkat çekici bir eğilim olarak nitelendiriliyor. Kaspersky GReAT güvenlik uzmanı Georgy Kucherin, bu durumun yüksek değerli kurumsal ağlarda uzun süreli ve tespiti zor erişim sağlama amacı taşıyan yeni bir tehdit modeline işaret ettiğini vurguluyor.

Tehlikenin temel nedeni, Windows Update üzerinden alınan güncellemelerin tek başına yeterli olmamasıdır. Güvenliğin tam olarak sağlanabilmesi için sistem yöneticilerinin Microsoft tarafından önerilen ek yapılandırma adımlarını manuel olarak tamamlaması gerekiyor.

Bu adımların eksik bırakıldığı sistemler, güncel olsalar dahi saldırılara açık kalmaya devam ediyor. Kurumların, güvenlik güncellemelerinin ötesinde ek koruma protokollerini titizlikle uygulamaları, bu tür gelişmiş siber saldırılara karşı alınabilecek en kritik önlem olarak öne çıkıyor.