Windows 0 günlük güvenlik açığı, fidye yazılımını dağıtmak için vahşi doğada kullanılır

Oyun fidye yazılımı operasyonu ile bağlantılı tehdit aktörleri, 8 Nisan 2025’te düzenlenmeden önce Microsoft Windows’ta sıfır gün güvenlik açığından yararlandı.

CVE-2025-29824 olarak izlenen güvenlik açığı, Windows Ortak Günlük Dosya Sistemini (CLFS) sürücüsünü etkiler ve saldırganların ayrıcalıklarını standart kullanıcıdan tam sistem erişimine yükseltmesine izin verir.

Symantec Tehdit Hunter ekibi, Play Fidyeware Group’a (Balonfly veya PlayCrypt olarak da bilinir) bağlı saldırganların ABD’de, muhtemelen halka açık bir Cisco Adaptif Güvenlik Cihazı (ASA) bir giriş noktası olarak kullanan isimsiz bir kuruluşu hedeflediğini bildirdi.

Keşfedilen izinsiz girişte hiçbir fidye yazılımı yükü dağıtılmasa da, saldırganlar daha önce Play fidye yazılımı işlemiyle ilişkilendirilmiş Grixba adlı özel bir bilgi çalma aracı kullandı.

Microsoft’un Tehdit İstihbarat Merkezi (MSTIC) ve Güvenlik Müdahale Merkezi (MSRC), sömürü faaliyetinin fidye yazılımı kampanyalarında pipemagik kötü amaçlı yazılımları dağıtan Storm-2460 adlı bir tehdit grubuna atfedildiğini tespit etti.

Hedefler, ABD Bilgi Teknolojisi (BT) ve emlak sektörlerindeki kuruluşları, Venezuela’nın finans sektörü, bir İspanyol yazılım şirketi ve Suudi Arabistan’ın perakende sektörünü içeriyordu.

Windows 0 günlük güvenlik açığının sömürülmesi

Microsoft, güvenlik danışmanında, “Fidye yazılımı tehdit aktörleri, ayrıcalık istismarlarının gelişim sonrası yükselmesine değer veriyor çünkü bunlar güvenlik danışmanlığında başlangıç ​​erişimi erişimi artırmalarını sağlayabilir” dedi.

7.8 (yüksek) CVSS puanı alan güvenlik açığı, Microsoft’un Nisan 2025 Patch Salı güncellemelerinin bir parçası olarak ele alındı ​​ve bu da toplam 121 güvenlik açığını giderdi.

Teknik analiz, sömürünün sofistike bir saldırı zinciri içerdiğini ortaya koydu. Güvenlik açığı CLFS çekirdek sürücüsünde bulunur ve saldırganların kullanılmayan bir durumdan yararlanmasına izin verir. İstismar yürütme sırasında saldırganlar, winlogon.exe işlemine enjekte edilen bir DLL de dahil olmak üzere C: \ ProgramData \ Skypdf yolunda dosyalar oluşturdular.

Bu, sysinternals ProcDump.exe gibi araçları kullanarak LSASS bellekinden kimlik bilgilerini çıkarmalarına, yeni yönetici kullanıcıları oluşturmalarını ve kalıcılık oluşturmalarını sağladı.

Haziran 2022’den beri aktif olan Play Ransomware Group, hassas verilerin şifrelemeden önce ortaya çıktığı çift uzatma taktiklerini dağıttığı bilinmektedir.

Grup daha önce Grixba gibi sahte Sentinelone ve Palo Alto Networks uygulamaları da dahil olmak üzere meşru güvenlik yazılımı olarak gizlenmiş özel araçlar geliştirmiştir.

Araştırmacılar, fidye yazılımı aktörleri nadiren sıfır gün güvenlik açıkları kullanırken, bunun yeteneklerinde bir yükselişe işaret ettiğini belirtti.

Kuruluşlara, özellikle Windows’un savunmasız sürümlerini çalıştıran sistemler için 8 Nisan 2025’te yayınlanan güvenlik güncellemelerini uygulamaları şiddetle tavsiye edilir.

Microsoft, Windows 11 sürüm 24H2’yi çalıştıran müşterilerin zaten mevcut güvenlik azaltmaları nedeniyle bu güvenlik açığından etkilenmediğini özellikle belirtti.

Bu olay, fidye yazılımı taktiklerinin sürekli evrimini ve özellikle fidye yazılımı saldırı zincirlerindeki kritik bileşenler olan ayrıcalık artışını sağlayan güvenlik açıkları için hızlı yama yapmanın önemini vurgulamaktadır.

IOC’ler

İşte CVE-2025-29824’ten yararlanan Play Ransomware kampanyasına bağlı uzlaşma göstergeleri (IOCS) tablosu:

Vergi dolandırıcılığı daha akıllı hale geliyor – Domain Research Suite ile kötü niyetli alan adlarını kontrol edin