Symantec ve Carbon Black araştırmacılarının raporuna göre, Çin bağlantılı Warlock fidye yazılımı grubu, ilk erişimi sağlamak için SharePoint açıklarından yararlanarak bir su işletmesini, bir telekom sağlayıcısını, bölgesel bir kamu kurumunu ve bir üniversiteyi hedef aldı.
Tehdit aktörü son iki ayda Avrupa, Afrika ve Latin Amerika’daki Portekizce ve İspanyolca konuşulan ülkelere odaklanmış görünüyor. Grup Haziran 2025’te ortaya çıktı ve bir ay sonra ToolShell olarak bilinen Microsoft SharePoint sıfırıncı gün açıkları zincirinden yararlanarak dikkat çekti: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 ve CVE-2025-53771. Microsoft daha sonra başka bilgisayar korsanı gruplarının ve Storm-2603 olarak izlediği bir fidye yazılımı aktörünün ToolShell açıklarından yararlandığını gözlemledi.
Symantec, aktörü Longlegs olarak tanımlıyor ve Warlock’un geliştirilmesini gruba atfediyor. Araştırmacılara göre 22 Temmuz’da başlayan bir sızmada saldırganlar güvenlik yazılımlarını “yaklaşık iki saat içinde en az 40 ana makinede” devre dışı bıraktı, ardından en az 33 ana makinede fidye yazılımını çalıştırdı.
Araştırmacılar, saldırganların zafiyet içeren imzalı bir sürücü, web kabuğu ve yükü yaymak için etki alanının SYSVOL paylaşımını kullandığını söylüyor. Ayrıca uzaktan erişim için hizmet olarak kurulan Visual Studio Code Insiders’ı ve bir sistemde açık kaynaklı NetExec çerçevesini buldular. Fidye yazılımı 31 Temmuz’da, güvenlik korumaları devre dışı bırakıldıktan sonra dağıtıldı.
Araştırmacılar, ToolShell ve diğer SharePoint açıklarının ilk erişimi sağlamak için hâlâ kullanılabildiği uyarısında bulunuyor. Raporlarında saldırılarda kullanılan dosya ve altyapıya ilişkin ihlal göstergeleri yer alıyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.