Play Fidye Yazılımı Grubu, Windows Açığını Sıfır Gün Saldırılarında Kullandı
Play fidye yazılımı grubu, Microsoft’un CVE-2025-29824 olarak tanımladığı ve Common Log File System (CLFS) bileşeninde yer alan yüksek önemdeki bir güvenlik açığını sıfır gün saldırılarında kullanarak sistem ayrıcalıkları elde etti. Bu açık sayesinde saldırganlar, hedef sistemlerde SYSTEM yetkisi kazanarak zararlı yazılım yükledi.
Microsoft: Saldırılar Sınırlı Sayıda Kurumu Hedef Aldı
Microsoft, nisan ayında yayımladığı güvenlik bülteninde açığın bilgi teknolojileri (IT) ve emlak sektöründeki ABD merkezli firmaları, Venezuela’daki finans kurumlarını, İspanya’daki bir yazılım şirketini ve Suudi Arabistan’daki perakende kuruluşlarını hedef aldığını açıkladı.
Saldırganların, sisteme sızma sonrası PipeMagic adlı arka kapı yazılımını yüklediği belirtildi. Bu yazılım, CVE-2025-29824 açığını tetikleyerek fidye yazılımı yüklemeye ve dosyaları şifreledikten sonra fidye notları bırakmaya yarayan işlemleri başlattı. Microsoft’un saldırıları RansomEXX grubuyla ilişkilendirmesine karşın, Symantec Tehdit Avcılığı Ekibi, saldırıların Play fidye yazılımı hizmeti (RaaS) ile bağlantılı olduğunu duyurdu.
Symantec, ABD merkezli bir kuruluşa yönelik saldırıda fidye yazılımı yüklenmese de, saldırganların özel olarak geliştirilen Grixba adlı bilgi toplayıcıyı sistemlere yerleştirdiğini doğruladı. Bu araç, Balloonfly olarak bilinen ve Play fidye yazılımını kullanan siber suç grubuna ait. Grixba, ağ içindeki kullanıcıları ve sistemleri tespit etmeye yarayan özel bir ağ tarayıcısı ve bilgi toplayıcı olarak tanınıyor. Play operasyonları sırasında genellikle fidye yazılımı öncesi keşif ve hazırlık sürecinde kullanılıyor.
Haziran 2022’de ortaya çıkan Play grubu, özellikle çifte şantaj yöntemiyle biliniyor. Bu yöntemde dosyalar yalnızca şifrelenmekle kalmıyor, aynı zamanda kurbanın verileri de çalınıyor. Kurban ödeme yapmazsa, veriler kamuya sızdırılıyor.
Aralık 2023’te FBI, CISA ve Avustralya Siber Güvenlik Merkezi (ACSC) tarafından yayımlanan ortak bildiride, Play grubunun Ekim 2023 itibarıyla dünya genelinde yaklaşık 300 kuruluşa sızdığı belirtilmişti. Grubun bilinen kurbanları arasında şunlar yer alıyor:
- Bulut bilişim şirketi Rackspace
- Otomotiv devi Arnold Clark
- ABD’deki Oakland şehri ve Dallas County
- Belçika’nın Anvers şehri
- Yarı iletken üreticisi Microchip Technology
- Ünlü tatlı zinciri Krispy Kreme
Uzmanlar, işletim sistemlerini güncel tutmanın, ağ izleme araçlarıyla olağandışı etkinliklerin takip edilmesinin ve kritik sistemlere erişim izinlerinin sınırlanmasının saldırılara karşı alınabilecek en etkili önlemler arasında olduğunu vurguluyor.
