Microsoft, RansomEXX fidye yazılımı grubunun Windows işletim sistemindeki kritik bir sıfırıncı gün açığını kullandığını açıkladı. CVE-2025-29824 olarak tanımlanan bu güvenlik açığı, Windows Common Log File System (CLFS) bileşeninde yer alıyor ve saldırganlara SYSTEM düzeyinde yetki kazandırıyor.
Bu açık, düşük ayrıcalıklara sahip yerel kullanıcıların herhangi bir etkileşime gerek duymadan sistem üzerinde tam yetki elde etmesine yol açıyor. Microsoft, açığın bu ayki Patch Tuesday güncellemeleriyle kapatıldığını ancak Windows 10 x64 ve 32-bit sürümleri için yamaların geciktiğini duyurdu. Söz konusu güncellemelerin en kısa sürede yayımlanacağı bildirildi.
Hedefte ABD, Venezuela, İspanya ve Suudi Arabistan Vardı
Microsoft’un verdiği bilgiye göre saldırılar, sınırlı sayıda vakada tespit edildi. Hedefler arasında Amerika Birleşik Devletleri’ndeki bilgi teknolojileri ve emlak sektörleri, Venezuela’daki finans kuruluşları, İspanya’da bir yazılım firması ve Suudi Arabistan’daki perakende sektörü yer aldı. Windows 11 24H2 sürümünü kullanan sistemlerin bu açıktan etkilenmediği belirtildi. Microsoft, kullanıcıların sistemlerini vakit kaybetmeden güncellemeleri gerektiği konusunda uyarıda bulundu.
Microsoft, saldırıların arkasında Storm-2460 kod adıyla takip ettiği RansomEXX grubunun bulunduğunu açıkladı. Saldırganlar, öncelikle PipeMagic adlı arka kapı yazılımını sistemlere yerleştirdi. Bu yazılım, fidye yazılımı yüklemeleri ve !READ_ME_REXX2!.txt adlı fidye notlarının bırakılması için kullanıldı.
PipeMagic’in, daha önce tespit edilen CVE-2025-24983 kodlu başka bir Windows açığını da hedef aldığı biliniyor. Kaspersky tarafından 2022 yılında keşfedilen bu zararlı yazılım, sistemdeki hassas verileri toplayabiliyor, tam uzaktan erişim sağlıyor ve ağ içindeki diğer sistemlere de yayılabiliyor. Kaspersky, 2023 yılında Nokoyawa fidye yazılımı saldırılarını araştırırken bu arka kapıyı bir kez daha ortaya çıkarmıştı. O dönemki saldırılarda da yine CLFS sürücüsündeki bir başka sıfırıncı gün açığı olan CVE-2023-28252 kullanılmıştı.
Saldırılarda kullanılan fidye yazılımı, ilk olarak 2018 yılında Defray adıyla ortaya çıktı ve 2020 yılında RansomEXX olarak yeniden markalandı. Bu grup, daha önce de birçok yüksek profilli kurumu hedef almıştı. Hedef alınan kurumlardan bazıları şunlardı:
- Donanım üreticisi GIGABYTE
- Konica Minolta
- Teksas Ulaştırma Bakanlığı (TxDOT)
- Brezilya yargı sistemi
- Montreal STM toplu taşıma kurumu
- Tyler Technologies adlı yazılım tedarikçisi
Microsoft, bu tür saldırılardan korunmak için kullanıcıların şu adımları izlemesini tavsiye ediyor:
- Windows sistemlerini güncel tutmak
- Yalnızca güvenilir kaynaklardan yazılım indirmek
- Bilinmeyen eklentiler veya çalıştırılabilir dosyalar konusunda tedbirli davranmak
- Güncel bir antivirüs programı kullanmak
Tehditlerin giderek daha gelişmiş yöntemlerle ortaya çıktığı bu dönemde, sistem güvenliği için alınacak basit önlemler bile ciddi riskleri engelleyebilir.
