Siber güvenlik uzmanları, orta düzeyde bir kesinlikle APT41 grubuna atfedilen yeni bir siber saldırı kampanyasının, diplomatik kuruluşları hedef aldığını bildirdi. Araştırmalar, saldırganların, kötü şöhretli BlackLotus bootkit'inin modernize edilmiş yeni nesil versiyonu olan BlackX'i kullandığını ortaya koydu.
Kaspersky'nin GReAT ekibi tarafından yürütülen incelemeler, BlackX'in, Windows işletim sisteminin önyükleme sürecindeki güvenlik mekanizmalarını ve birçok üçüncü taraf güvenlik çözümünü atlatmak üzere tasarlandığını gösterdi. Bu zararlı yazılım, kurbanların cihazlarına uzun süre fark edilmeden erişim sağlamayı amaçlıyor. BlackX'in, siber suçlular tarafından 2022'de dark web'de satışa sunulan BlackLotus adlı zararlı yazılımın güncellenmiş bir devamı olduğu belirlendi.
BlackX, bilgisayarlar açılırken yalnızca güvenilir yazılımların çalışmasını sağlayan Secure Boot özelliğini aşabiliyor. Bu amaçla, daha önce bilinen ve “Baton Drop” olarak adlandırılan bir güvenlik açığından faydalanıyor. Microsoft bu güvenlik açığına yönelik bir yama yayımlamış olsa da, korumanın tam olarak devreye alınması için sistem yöneticilerinin belirli yapılandırma adımlarını manuel olarak tamamlaması gerekiyor. Bu adımları uygulamayan birçok kuruluşun savunmasız kaldığı belirtildi.
Saldırganlar, kurbanların iç ağlarına sızıp Windows sistemlerinde yönetici ayrıcalıklarını ele geçirdikten sonra BlackX bootkit'ini, yüksek kalıcılık sağlayan ikincil bir zararlı yazılım olarak kullanıyor. Faaliyetlerini olay müdahale ekiplerinden gizlemeyi amaçlayan saldırganlar, bootkit bileşenlerini şifrelenmiş dosyalar ve tespit edilmekten kaçacak şekilde özel olarak tasarlanmış yükleyici programlar aracılığıyla hedef cihazlara aktarıyor.
Güvenlik açığından başarıyla yararlanılmasının ardından BlackX, güvenlik yazılımlarını devre dışı bırakmaya yönelik bir bileşen çalıştırıyor. Kaspersky'nin uç nokta koruma çözümü, zararlı yazılımın bu girişimini engellemeyi başardı. Saldırganlar güvenlik korumasını devre dışı bırakabilselerdi, bir sonraki aşamada Google Drive, OneDrive ve Yandex Disk gibi meşru bulut hizmetlerinden yararlanarak gizli bilgileri çalmak ve kurbanların faaliyetlerini izlemek üzere tasarlanmış bir casus yazılımı devreye alacaklardı.
