Fidye yazılımı (Ransomware) grupları, Microsoft SharePoint sunucularındaki güvenlik açıklarını hedef alan saldırılara katıldı. Palo Alto Networks’ün güvenlik ekibi Unit 42, 148’den fazla kurumu etkileyen saldırı zincirinde 4L4MD4R adlı yeni bir fidye yazılımı varyantı tespit etti.
Devlet Kurumları ve Şirketler Hedef Alındı
Tespit edilen saldırılar, ToolShell adı verilen bir SharePoint istismar zincirine dayanıyor. Söz konusu zincir, devlet kurumlarını, eğitim kuruluşlarını ve özel şirketleri hedef aldı. Saldırılarda kullanılan 4L4MD4R fidye yazılımı, açık kaynaklı Mauri870 kodu üzerine inşa edilmiş. Yazılım, sistemlere sızdıktan sonra verileri şifreliyor ve 0.005 Bitcoin karşılığında çözüm anahtarı talep ediyor.
Palo Alto araştırmacıları, yazılımın 27 Temmuz’da fark edildiğini belirtti. Saldırganların kullandığı zararlı yükleyici, theinnovationfactory[.]it alan adı üzerinden fidye yazılımını indirip çalıştırıyor. Güvenlik uzmanları, başarısız bir istismar girişimi sonrası keşfedilen PowerShell komutlarının, sistemdeki güvenlik takibini devre dışı bırakmaya çalıştığını bildirdi.
Microsoft, saldırılarda tespit edilen üç ayrı Çin merkezli devlet destekli hacker grubunu işaret etti. Linen Typhoon, Violet Typhoon ve Storm-2603 olarak adlandırılan bu grupların, SharePoint sunucularını hedef alan istismarları aktif şekilde kullandığı ifade edildi. Bu saldırılar sırasında Avrupa, Orta Doğu ve ABD’deki kamu ve özel kuruluşların sistemleri tehlikeye girdi.
Hollandalı siber güvenlik firması Eye Security, CVE-2025-49706 ve CVE-2025-49704 numaralı iki kritik açığın sıfır gün saldırıları kapsamında kötüye kullanıldığını bildirdi. Firma, en az 54 kurumun daha bu istismar zinciri nedeniyle etkilendiğini açıkladı. Check Point Research ise saldırıların 7 Temmuz’dan beri sürdüğünü ve telekom, kamu ve teknoloji sektörlerine yayıldığını duyurdu.
Microsoft, temmuz ayı güvenlik güncellemeleriyle bu açıkları kapattığını duyurdu. Güncellenen sistemlerde bile saldırganların başarı elde ettiği ortaya çıktı. Bu nedenle şirket, yamalanmış sürümlere yönelik kullanılan istismar zincirine ait iki yeni güvenlik açığına CVE-2025-53770 ve CVE-2025-53771 kimlik numaraları verdi.
Eye Security CTO’su Piet Kerkhofs’un aktardığına göre, saldırıların boyutu ilk tahminlerin çok ötesine ulaştı. Firma, dünya genelinde en az 148 kurumun ağında 400’den fazla SharePoint sunucusunun zararlı yazılımla enfekte olduğunu belirledi. Bazı sistemlerin uzun süredir saldırganların kontrolünde olduğu da tespit edildi.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2025-53770 açığını aktif olarak istismar edilen güvenlik açıkları listesine ekledi. Ajans, tüm federal kurumlara sistemlerini 24 saat içinde güvenlik altına alma talimatı verdi.
