UEFI Bootkit Tamamen Yamalanmış Windows Makineleri Bulaştırdı: Suçlu Microsoft mu?.

2023 yılında BlackLotus olarak izlenen kötü amaçlı yazılım, tamamen güncellenmiş Windows 11 sistemlerinde Secure Boot’u atlayabilen, halka açık biçimde belgelenmiş ilk gerçek UEFI bootkit oldu. Sektör çapındaki güven zinciri mekanizması altüst edildiği için kötü amaçlı yazılım, Windows tamamen yüklenmeden ve güvenlik savunmalarının çoğu devrede olmadan kötü amaçlı kod çalıştırabildi.

Microsoft, BlackLotus’un sömürdüğü açığı 2022 yılında zaten düzeltmişti. 2023 ve 2024 yıllarında Microsoft ek güncellemeler yayımladı. İlk güncelleme, artık zayıf boot yöneticilerini güvenilir kabul etmeyen yeni bir sertifika ekledi. İkincisi ise eski, zayıf Windows boot yöneticilerini imzalayan dijital sertifikanın güveninin iptal edilmesine olanak sağladı. BlackX adı altında izlenen yeni bootkit tarafından bulaşan kuruluşlar, bu yamaların tümünü kurmuştu. Peki, nasıl oldu da mağdur düştüler?

UEFI bootkit hatırlatması

Olayı daha fazla tartışmadan önce, BlackLotus ve UEFI kötü amaçlı yazılımı hakkında kısa bir değerlendirmenin yerinde olduğunu söyleyebiliriz. Unified Extensible Firmware Interface sözcük grubunun kısaltması olan UEFI, bir bilgisayar açıldıktan hemen sonra çalışan bir yazılımdır. Ana görevlerinden biri sistem yapılandırma ayarlarını yüklemek, donanım bileşenlerini tanımlamak ve başlatmak ve bilgisayarı işletim sisteminin başlatılmasına hazırlamaktır.

UEFI’nin bir diğer önemli işlevi de Secure Boot’tur; bu güvenlik özelliği, her bir yazılım parçasının dijital imzalarını doğrulayarak bir güven zinciri kurar ve çalıştırılmasına izin vermeden önce doğrulama yapar. Amacı, fiziksel ya da kötü amaçlı yazılım yoluyla bir cihazın kontrolünü ele alan saldırganların, meşru yazılımın yerine yetkisiz boot kodu çalıştırmasını engellemektir.

Dijital olarak imzalanması gereken öğelerden biri, sürücüdeki küçük özel bir bölüme kaydedilen önyükleyici yöneticisidir. Önyükleyici yöneticisi, işletim sisteminin (İS) ilk yüklenmesinden sorumludur. Her iki kötü amaçlı yazılım da “Baton Drop” olarak adlandırılan ve saldırganların Güvenli Önyükleme’yi (ayrıca belirli koşullar altında BitLocker şifreleme anahtarlarını çıkarmayı) atlatmasına olanak tanıyan Windows önyükleyici yöneticisindeki bir mantık açığını kullanıyor. 2022’de ortaya çıkan ve CVE-2022-21894 numarasıyla takip edilen bu açıklık, Microsoft tarafından aynı yıl düzeltildi; ancak eski, açıklığa sahip önyükleyici yöneticilerini imzalamak için kullanılan sertifikaya olan güven geri alınmadı. BlackLotus bu boşluktan yararlandı ve kötü amaçlı bir çekirdek modu sürücüsünü yükledi.

BlackLotus ve BlackX’i saldıranlar için bu kadar değerli kılan şey, önyükleme sürecinin erken aşamalarında çalışarak, birçok İS ve güvenlik savunması devrede olmadan önce kötü amaçlı sürücüleri Windows çekirdeğine yükleyebilmeleridir. UEFI önyükleyici araçları, özel güvenlik araçları olmadan tespit edilmesi zor olabilir ve enfekte olmuş önyükleme bölümü sağlam kaldığı sürece İS yeniden kurulumundan sağ çıkabilir. Önyükleyici araçların saldıranların önce bir cihazı ele geçirmesini gerektirmesine rağmen, gizlilik, kalıcılık ve İS üzerinde kapsamlı kontrolü birleştirmeleri nedeniyle özellikle değerlidir.

BlackLotus’un ortaya çıkışı, önyükleyici araçları Güvenli Önyükleme’yi atlatanları teorik bir tehditten gerçek bir tehdide dönüştürdüğü için önemli bir dönüm noktasıydı. BlackX’in aynı başarıyı yakalama yeteneği de benzer şekilde dikkat çekici.

Açıklığın eksikliğinden yararlanmak

Mayıs 2023’te—BlackLotus’un keşfinden iki ay sonra—Microsoft, açığı bir kez ve sonsuza kadar kapatmayı hedefleyen yıllara yayılan bir sürece başladı. 2022’de altta yatan önyükleyici açığını yamayan Microsoft, Mayıs 2023 yama paketine, saldırganların eski, açılı önyükleyicileri yüklemesini engelleyen güvenlik güncellemelerini dahil etti. Bu önleme süreci, Secure Boot’un güvendiği sertifikalar veritabanına yeni bir imzalama sertifikası olan Windows UEFI CA 2023’ü eklemeyi içeriyordu. 2024’te Microsoft, eski Windows Production PCA 2011 sertifikasını Secure Boot’un yasaklı imzalar veritabanına eklemeye olanak tanıyan daha kapsamlı bir önleme getirdi. Son adım, 2011 sertifikası altında imzalanmış eski önyükleyicilerin çalışmasını engelleyecekti.

Ars’ın o dönemde bildirdiği gibi, bu ikinci yama da eski, açılı önyükleyicilere olan güveni geri almadı. Gerekli güncellemeleri almayan milyonlarca cihazın önyükleme yeteneğini kaybedebileceği korkusu, Microsoft’u geri alımları derhal uygulamaya zorladı. Çoğu yamadan farklı olarak, yalnızca güncellemeler tam koruma sağlamadı. Bu arada kalma hali, BlackLotus’tan üç yıl sonra BlackX’in Secure Boot’u atlatmasına olanak tanıyan durum, o günden beri sürüp gidiyor.

“Bu yama dağıtım uygulaması bir sorun yaratıyor—çünkü bir sistem yöneticisinin bir güncelleme kurduktan sonra ek adımlar atması son derece olağan dışıdır,” BlackX enfeksiyonlarını keşfeden güvenlik şirketi Kaspersky’den bir araştırmacı yakın zamanda yazdı. “Genellikle yamalar uygulanırken, bir kurulum hatası oluşmadıkça sistem yöneticileri başka bir işlem yapmaz. Bu yamayı etkinleştirme talimatları Microsoft web sitesinin derinliklerinde gömülü ve ortalamaya bir IT yöneticisinin bunları fark etmesinin oldukça zor olduğunu değerlendiriyoruz.”

Microsoft’tan bir temsilci, bir e-postada şirketin müşterilere iki hafta önce yayınlanan Bu Bilgi Bankası makalesindeki rehberi izlemesini önerdiğini söyledi. Ancak makalede Microsoft, şu ana kadar yayınlanan yamaların müşterileri Baton Drop saldırılarından korumada hiçbir işe yaramadığı konusunda uyarda bulunmuyor.

Kaspersky’nin belirttiği gibi Microsoft, yamaları kurduktan sonra çoğu yöneticinin bu 2023 Bilgi Bankası makalesinde açıklanan ek bir eylemi gerçekleştirmesi gerektiği gerçeğini görmezden geliyor. (Bu makaleden ev kullanıcıları için durumun ne olduğu belli değil.)

BlackX olayı, Microsoft’un gerçekleştirmesi gereken zor dengelemeyi gözler önüne seriyor. Anahtarı, yenisi kurulmadan önce geri alın, bir makine neredeyse pahalı bir kağıt ağırlığından başka bir şey kalmaz. Eski yamanın dört yıl ve daha uzun süre güvenilmesini kabul edin, başarılı sömürü neredeyse kaçınılmaz olur. Görünüşe göre orta yol, Microsoft’un 2011 sertifikası manuel olarak geri alınwhen resulting riskleri konusunda daha açık olması olurdu. Geçen haftaki Bilgi Bankası makalesi bunu yapmak için ideal bir yer olurdu, tehdit aktörlerinin menfaatine olabilecek şekilde.

“Bu kampanyanın ardındaki tehdit aktörünün, az sayıda kuruluşun Baton Drop yamasının manuel olarak etkinleştirilmesinin önemini fark etmiş olması muhtemeldir” dedi Kaspersky. “Bu nedenle, BlackLotus’un nasıl çalıştığını anlamaya ve bu bootkit’in bir kopyasını oluşturmaya zaman yatırmaya karar verdiklerini düşünüyoruz.”