Birçok kuruluş, tamamen güncel olmasına rağmen Windows 11 sistemlerinde "Güvenli Önyükleme" (Secure Boot) özelliğini aşmayı başaran BlackX adlı bir UEFI bootkit zararlı yazılımı tarafından gerçekleştirilen güvenlik ihlallerine maruz kaldı. Bu olay, Microsoft'un karmaşık güvenlik güncellemelerini yönetme stratejisi hakkında temel soruları gündeme getiriyor.
Tehdidin doğası nedir?
BlackX, 2023 yılında ortaya çıkan BlackLotus zararlı yazılımıyla aynı yöntemle çalışmakta olup, Windows önyükleyicisindeki "Baton Drop" (CVE-2022-21894 numarasıyla kayıtlı) olarak bilinen mantıksal bir açıktan yararlanmaktadır. Bu tür yazılımların tehlikesi, cihazın önyükleme sürecinin çok erken bir aşamasında çalıştırılmalarıdır; bu da çoğu güvenlik savunması devreye girmeden önce işletim sistemi çekirdeğine zararlı sürücüler yüklemelerine olanak tanır. Ayrıca bu yazılımlar, kalıcılık ve tespit edilme zorluğu ile karakterize edilir.
Güncellemeler neden korumada başarısız oldu?
Microsoft, bu açığı gidermek için 2022 yılından beri güncellemeler yayınlamış olsa da, koruma tamamen otomatik değildi. Kaspersky araştırmacıları, Microsoft'un 2023 ve 2024 yıllarında yayınladığı güncellemelerin, milyonlarca cihazın önyükleme yapamamasına neden olma korkusuyla eski dijital sertifikalara olan güveni otomatik olarak iptal etmediğini açıkladı.
Bunun yerine Microsoft, tam korumayı etkinleştirmek için gereken ek manuel adımları sistem yöneticilerinin sorumluluğuna bıraktı. Araştırmacılar, bu talimatların teknik destek belgelerinde "gömülü" olduğunu ve sıradan BT yöneticilerinin bunları fark etmesinin veya uygulamasının zor olduğunu belirtti.
Bu durum kullanıcılar için ne anlama geliyor?
Bu olay, güvenlik yaması ile fiili uygulama arasındaki boşluğu vurgulamaktadır. Kuruluşlar düzenli güncellemeleri yüklediklerinde korunduklarını düşünürken, UEFI açıklarına karşı koruma, açıkça duyurulmayan ek manuel işlemler gerektirmektedir. Uzmanlar, saldırganların bu belirsizlikten yararlandığını; çok az kuruluşun gerekli manuel koruma önlemlerini etkinleştirdiğinin farkında olduklarını ve bu durumun BlackLotus tekniklerinin kopyalanmasını ve BlackX'in geliştirilmesini saldırganlar için başarılı bir yatırım haline getirdiğini savunuyor.
Şu ana kadar Microsoft, mevcut güncellemelerin tek başına "Baton Drop" saldırılarına karşı tam koruma sağlamadığı konusunda kullanıcılara açık bir uyarıda bulunmadı; bu da sistem yöneticilerini cihazlarını nihai olarak nasıl güvence altına alacakları konusunda belirsizlik içinde bırakıyor.