Windows Server için ekim ayında yayımlanan güvenlik güncellemeleri, WSUS bileşeninde bulunan kritik bir açığı kapatmıştı. Güvenlik topluluğu, bu açığın kapatılmamış sistemlerde ShadowPad olarak bilinen arka kapı yazılımını yaymak için kullanıldığını aktarıyor. Uzmanlar, saldırıların özellikle güncellemesi geciken sunucuları hedef aldığını belirtiyor.
WSUS Açığı Sistemleri Tehlikeye Atıyor
Güvenlik araştırmacıları, CVE-2025-59287 koduyla takip edilen açığın WSUS üzerinde yetkisiz kod çalıştırmaya izin verdiğini bildiriyor. Bu açık, saldırganlara ağ üzerinden sunucuları ele geçirme imkânı sunuyor. Microsoft, 14 Ekim 2025 tarihinde yayımladığı güncellemelerle sorunu giderdi. Ardından 23 Ekim 2025 tarihinde destek kapsamındaki Windows Server sürümleri için ek bir güncelleme paylaşıldı.
Güvenlik uzmanları, yamanın geç yüklenmesi nedeniyle birçok sunucunun hâlâ risk altında olduğunu ifade ediyor. Açığın kullanılması, saldırganlara sistemde komut çalıştırma olanağı sağlıyor. Bu durum, arka kapı yazılımlarının yüklenmesine kapı aralamış durumda.
ShadowPad, 2015 yılından beri devlet destekli Çinli grupların sıklıkla kullandığı modüler bir arka kapı yazılımı olarak biliniyor. AhnLab Security Intelligence Center araştırmacıları, saldırganların güncellenmemiş WSUS sunucularını hedef alarak bu zararlı yazılımı dağıttığını açıkladı.
Saldırganlar, ilk erişimi sağladıktan sonra PowerCat adlı PowerShell tabanlı aracı kullanarak sistem kabuğuna ulaştı. Ardından certutil ve curl araçlarıyla ShadowPad dosyalarını sunucuya indirip çalıştırdı. Araştırmacılar, güncellemesi geciken sunucularda arka kapının çoktan kurulmuş olabileceğini değerlendiriyor.
❗AhnLab ekibi, sistem yöneticilerinin belirli izleri takip ederek olası bir sızıntıyı hızla tespit edebileceğini belirtiyor. Uzmanlar, özellikle şu alanların incelenmesini öneriyor:
- PowerShell geçmişi
- certutil.exe ve curl.exe kullanım geçmişi
- Ağ bağlantı kayıtları
Bu kayıtların incelenmesi, zararlı dosyaların indirildiğini veya şüpheli komutların çalıştırıldığını gösterebilir. Güvenlik analistleri, yöneticilerin tüm sunucuların ekim güncellemelerini tam olarak aldığından emin olması gerektiğini vurguluyor.
