Kısaca: Kaspersky, BlackX adını verdiği yeni bir UEFI bootkit buldu. Bu zararlı Windows açılmadan önce, bilgisayarın en derin katmanında çalışıyor ve tüm güncellemeleri yüklenmiş Windows bilgisayarlarda Secure Boot’u atlatabiliyor. Kaspersky saldırıyı orta güvenle Çin bağlantılı APT41 grubuna bağlıyor. Kontrol tarihi: 26 Ekim 2026 (TR).
Kimler hedef?
Şimdilik Tacikistan, Özbekistan ve Türkmenistan’daki diplomatlar. Yani sıradan kullanıcıya yönelik yaygın bir saldırı değil. Ama asıl ders herkes için geçerli.
Nasıl çalışıyor?
- 2022’de yaması çıkan Baton Drop (CVE-2022-21894) açığını kullanıyor. Meşhur BlackLotus bootkit’i de aynı açığı kullanmıştı.
- Peki yamalı bilgisayarda nasıl? Çünkü Microsoft’un bu açık için yayımladığı ek Secure Boot iptal adımları (eski, açıklı önyükleme dosyalarını kara listeye alan “DBX” güncellemesi ve Windows Production PCA 2011 sertifikasının iptali) otomatik uygulanmıyor. Kurban bilgisayarlar normal güncellemeleri almıştı ama bu elle yapılan adımlar yapılmamıştı.
- O sertifikanın 19 Ekim 2026’da süresinin dolmuş olması da açıklı eski önyükleme dosyalarının çalışmasını engellemiyor.
- Bilgisayar açılırken zararlı bir sürücü yükleniyor; güvenlik yazılımlarını kapatıyor, Windows’un olay kayıt sistemini (ETW) bozuyor ve bulut üzerinden yönetilen bir uzaktan erişim truva atı (RAT) kuruyor.
Ders: “güncel” ile “korunuyor” aynı şey değil
Bazı güvenlik düzeltmeleri, bilgisayarı açılmaz hâle getirme riski taşıdığı için Microsoft tarafından isteğe bağlı bırakılıyor. Windows Update “güncelsin” dese bile bu adımlar yapılmamış olabilir.
Ne yapmalısın?
- Ev kullanıcısıysan: Windows Update’i açık tut, bilgisayar üreticinin sitesinden BIOS/UEFI güncellemelerini kur, Secure Boot’un açık olduğunu kontrol et (
msinfo32→ “Güvenli Önyükleme Durumu: Açık”). Hedefli bir saldırı riskin yoksa elle iptal adımları şart değil. - Kurum/BT yöneticisiysen: Microsoft’un Baton Drop / BlackLotus için yayımladığı elle Secure Boot iptal (DBX + PCA 2011) adımlarını test makinelerinde deneyip planlı şekilde uygula. Önce kurtarma medyalarını güncelle; yanlış sırayla yapılırsa makine açılmayabilir.
- Hassas görevdeki kullanıcıların (diplomat, gazeteci, yönetici) bilgisayarlarını öncelikli ele al.
Kaynaklar: BleepingComputer, 24 Ekim, Kaspersky Securelist, BlackX raporu. Kontrol tarihi: 26 Ekim 2026.
Bilgisayarında Secure Boot açık mı? msinfo32 ile baktın mı? Aşağıya yaz.