Microsoft SharePoint Sunucularına Yönelik Fidye Yazılımı Saldırıları Devam Ediyor
Çin merkezli bir tehdit grubu, Microsoft SharePoint sunucularını hedef alarak Warlock fidye yazılımını yaymaya başladı. Saldırılar, ToolShell adlı sıfır gün zafiyet zincirinde yer alan açıklar üzerinden gerçekleştiriliyor. Güvenlik kuruluşları, hâlâ yamanmamış yüzlerce sunucunun saldırılara açık şekilde internette erişilebilir durumda olduğunu tespit etti.
Zafiyet Zinciri Saldırganlara Kapı Aralıyor
Microsoft’un açıkladığına göre, Storm-2603 adıyla takip edilen Çin bağlantılı tehdit aktörleri, 18 Temmuz 2025 tarihinden itibaren SharePoint sunucularına yönelik saldırılar başlattı. Saldırılar, kısa süre önce yamalanan CVE-2025-49706 ve CVE-2025-49704 kodlu zafiyetlerin istismarıyla başladı.
Siber güvenlik şirketi Eye Security, saldırıların kapsamını genişleten ilk uyarıyı yapan kuruluşlar arasında yer aldı. Şirketin Teknoloji Sorumlusu Piet Kerkhofs, 400’den fazla sunucunun zararlı yazılımla enfekte olduğunu, 148 kurumun ise sistemlerine yetkisiz erişim sağlandığını açıkladı.
Saldırganlar, sistemlere erişim sağladıktan sonra Mimikatz adlı araçla bellekten şifreleri düz metin hâlinde çıkartıyor. Ardından PsExec, Impacket araç seti ve WMI gibi yöntemlerle ağ içinde yatay hareket ediyor. Grup İlkesi Nesneleri’ni (GPO) değiştirerek fidye yazılımını hedef sistemlere yayıyor.
Warlock fidye yazılımının yanı sıra daha önce Lockbit zararlısı da aynı grup tarafından dağıtılmıştı. Ancak Microsoft, saldırganların asıl amacını hâlâ kesin olarak belirleyemediklerini belirtti.
Amerika Birleşik Devletleri Enerji Bakanlığı, SharePoint saldırılarından etkilendiğini doğrulayan ilk resmî kurum oldu. Bakanlık, Ulusal Nükleer Güvenlik İdaresi’nin sistemlerine sızıldığını ancak şu ana kadar hassas ya da gizli bilgilerin çalındığına dair bulgu bulunmadığını açıkladı.
Bloomberg ve Washington Post’un aktardığına göre, ABD Eğitim Bakanlığı, Florida Gelir Departmanı, Rhode Island Genel Meclisi ve Ulusal Sağlık Enstitüleri de saldırıdan etkilenen kurumlar arasında yer aldı. Ayrıca, Avrupa ve Orta Doğu’daki çeşitli devlet sistemlerinin de hedef alındığı bildirildi.
Microsoft, tüm kurumlara SharePoint sunucuları için yayınlanan yamaların vakit kaybetmeden uygulanması gerektiği uyarısında bulundu. Şirket, resmî blog sayfasında detaylı önlem listesi de paylaştı.
Öte yandan, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), ToolShell açık zincirinin bir parçası olan CVE-2025-53770 kodlu başka bir uzaktan komut çalıştırma zafiyetini de acil önlem alınması gereken tehditler listesine ekledi. Federal kurumlara, sistemlerini bir gün içinde güvenli hâle getirme emri verildi.
Uluslararası güvenlik kuruluşu Shadowserver, saldırıların hâlâ devam ettiğini duyurdu. Örgüt, çevrimiçinde açık şekilde ulaşılabilen ve güvenlik yaması uygulanmamış 420’den fazla SharePoint sunucusunu izlemeye aldığını açıkladı. Bu sunucular, siber saldırganlar için kolay hedef hâline gelmiş durumda.
