Microsoft, GoAnywhere Açığını Hedef Alan Fidye Yazılımı Saldırılarını Doğruladı
Microsoft, GoAnywhere MFT yazılımındaki kritik güvenlik açığının fidye yazılımı saldırılarında kullanıldığını doğruladı. Şirketin tehdit izleme ekibi, Storm-1175 adlı siber suç grubunun bu zafiyeti kullanarak Medusa fidye yazılımını dağıttığını açıkladı.
Güvenlik Açığı Kurumsal Sistemleri Etkiledi
CVE-2025-10035 olarak tanımlanan açık, Fortra tarafından geliştirilen GoAnywhere MFT adlı güvenli dosya aktarım aracında tespit edildi. Zafiyet, License Servlet bileşeninde yer alan doğrulanmamış veri ayrıştırması hatasından kaynaklandı. Uzaktan erişimle istismar edilebilen bu hata, saldırganların sisteme dışarıdan müdahale etmesine imkân tanıdı. Siber güvenlik araştırmacıları, çevrim içi durumda 500’den fazla GoAnywhere MFT sunucusunun hâlâ risk altında olduğunu belirtiyor. Ancak hangi sistemlerin güncelleme aldığı henüz netleşmedi.
Fortra, hatayı 18 Eylül’de yayınladığı güncellemeyle giderdi. Fakat araştırma şirketi WatchTowr Labs, yamadan önce de açığın saldırılarda kullanıldığına dair kanıtlar buldu. Uzmanlara göre siber korsanlar, bu güvenlik zafiyetini 10 Eylül’den itibaren aktif olarak kullanmaya başladı. Microsoft, yapılan analizler sonucunda saldırıların 11 Eylül 2025’ten bu yana sürdüğünü duyurdu. Şirket, saldırılarda Storm-1175 grubuna bağlı bilgisayar korsanlarının yer aldığını belirtti.
Microsoft Defender araştırmacıları, saldırganların sisteme sızdıktan sonra uzaktan yönetim yazılımlarını kötüye kullandığını bildirdi. Ekip, SimpleHelp ve MeshAgent araçlarının kalıcılık sağlamak amacıyla devreye alındığını tespit etti.
Saldırının ikinci aşamasında tehdit aktörleri, ağ keşfi için Netscan yazılımını kullandı. Ardından sistem komutlarıyla kullanıcı ve cihaz bilgilerini topladı. Ele geçirilen ağlarda, Microsoft Remote Desktop bağlantı aracı üzerinden yan sistemlere geçiş sağlandı. Uzmanlar, saldırganların en az bir kurbanın ortamında Rclone aracını kullanarak verileri dışarıya aktardığını, ardından Medusa fidye yazılımını çalıştırarak dosyaları şifrelediğini bildirdi.
Amerikan Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), mart ayında yayımladığı uyarıda Medusa operasyonunun ABD’deki 300’den fazla kritik altyapı kuruluşunu hedef aldığını açıklamıştı. Microsoft’un önceki araştırmalarında Storm-1175 grubunun VMware ESXi sistemlerindeki kimlik doğrulama açığını da sömürdüğü, bu yöntemle Akira ve Black Basta fidye yazılımlarını dağıttığı tespit edilmişti.
Microsoft ve Fortra, GoAnywhere MFT kullanan kurumlara en son sürüme geçmelerini öneriyor. Fortra, sistem yöneticilerinin günlük kayıtlarını kontrol ederek “SignedObject.getObject” ifadesini içeren hata kayıtlarını incelemesini tavsiye etti.
Uzmanlar, zafiyetin kritik önem taşıdığını ve yamalanmamış sistemlerde saldırı riskinin yüksek olduğunu vurguluyor. Kurumların, dış bağlantıları denetlemesi ve uzaktan erişim araçlarını sınırlaması öneriliyor.
