Warlock fidye yazılımı bir yıl önce yamalanan SharePoint açıklarıyla su ve telekom şirketlerine saldırdı

Symantec’in tehdit araştırma ekibi, Warlock fidye yazılımını kullanan bir grubun son iki ayda dört kuruma saldırdığını açıkladı. Hedefler arasında bir su idaresi, bir telekom şirketi, bir bölgesel yönetim birimi ve bir üniversite var. Kurumların hepsi Avrupa, Afrika ve Latin Amerika’daki Portekizce ve İspanyolca konuşulan ülkelerde. Symantec saldırıların arkasında Longlegs adını verdiği, Microsoft’un Storm-2603 olarak izlediği ve Çin bağlantılı olduğu değerlendirilen grubu görüyor.

Saldırganlar kurumlara internete açık SharePoint sunucularından girdi. Kullanılan açıklar, ToolShell olarak bilinen ve Temmuz 2025’te yamalanan CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 ve CVE-2025-53771. Microsoft, açıklar ilk ortaya çıktığında da aynı grubun bunları kullandığını açıklamıştı. Bir yıldan uzun süre sonra hâlâ işe yaraması, birçok kurumun şirket içinde çalıştırdığı SharePoint sunucularını güncellemediğini gösteriyor.

Symantec’in incelediği bir saldırıda grup 22 Temmuz’da sunucuya bir web kabuğu yerleştirdi ve sonraki günlerde ağı keşfetti. Sunucunun ASP.NET makine anahtarlarını ele geçirerek sunucuda istediği kodu çalıştırdı, bir etki alanı hesabını yönetici gruplarına ekledi ve fark edilmemek için Visual Studio Code’un uzaktan bağlantı özelliğini kullandı. 30 Temmuz’da zafiyetli bir sürücüyü kötüye kullanan bir araçla güvenlik yazılımlarını iki saat içinde 40’tan fazla bilgisayarda devre dışı bıraktı. Ertesi gün fidye yazılımını Windows etki alanının kendiliğinden çoğaltılan SYSVOL paylaşımına koyarak 33’ten fazla bilgisayara yaydı.

Haber, geçen hafta yazdığımız SharePoint açığıyla birlikte aynı noktaya işaret ediyor: şirket içinde çalışan SharePoint sunucuları saldırganların sürekli hedefinde ve yaması çıkmış açıklar bile güncellenmeyen sunucularda aylarca, hatta yıllarca kullanılabiliyor. SharePoint’i şirket içinde çalıştıran kurumların sunucularının güncel olduğunu ve SharePoint’in internetten doğrudan erişilebilir olup olmadığını kontrol etmesi öneriliyor.