Peretas secara aktif mengeksploitasi kerentanan keparahan maksimum (CVE-2025-10035) di GOAywhere MFT Fortra yang memungkinkan perintah suntikan dari jarak jauh tanpa otentikasi.
Vendor mengungkapkan cacat pada 18 SeptemberBUIT perusahaan telah mempelajarinya seminggu sebelumnya, dan tidak membagikan rincian apa pun tentang bagaimana itu ditemukan atau jika sedang dieksploitasi.
CVE-2025-10035 adalah kerentanan deserialisasi dalam servlet lisensi dari perangkat lunak transfer file yang dikelola Goanywhere yang dapat dimanfaatkan untuk menyuntikkan perintah oleh “seorang aktor dengan tanda tangan respons lisensi yang dipalsukan secara sah.”
Meskipun penasehat Fortra belum diperbarui untuk memasukkan informasi apa pun tentang rentan yang digunakan dalam serangan, peneliti keamanan di Watchtowr Labs mengatakan bahwa mereka menerima “bukti yang dapat dipercaya” dari Fortra Goany di mana CVE-2025-10035 dimanfaatkan sebagai hari nol.
“Kami telah diberi bukti kredibel tentang eksploitasi di-The-the-Wild dari Fortra Goanywhere CVE-2025-10035 yang berasal dari 10 September 2025,” Membaca laporan Watchtowr.
“Itu delapan hari sebelum penasihat publik Fortra, diterbitkan 18 September 2025,” tunjukkan para peneliti.
“Ini menjelaskan mengapa Fortra kemudian memutuskan untuk menerbitkan IOC terbatas, dan kami sekarang mendesak para pembela untuk segera mengubah cara mereka berpikir tentang jadwal dan risiko.”
Watchtowr mengkonfirmasi bahwa data yang dianalisis berisi jejak tumpukan terkait dengan eksploitasi dan kreatiuon akun backdoor:
- mencapai eksekusi perintah jarak jauh setelah mengeksploitasi kerentanan deserialisasi pra-auth
- Membuat akun admin backdoor dipanggil admin-go
- Menggunakan akun untuk membuat pengguna web yang mengaktifkan akses “sah”
- mengunggah dan mengeksekusi beberapa muatan sekunder
Dari indikator watchtowr kompromi yang diterbitkan di bagian bawah laporan, muatannya dinamai ‘zato_be.exe‘ Dan ‘jwunst.exe. ‘
Yang terakhir adalah biner AA yang sah untuk produk akses jarak jauh SimpleHelp. Dalam hal ini, disalahgunakan untuk kontrol langsung dari titik akhir yang dikompromikan.
Para peneliti juga mencatat bahwa para penyerang mengeksekusi ‘whoami/grup‘Perintah, yang mencetak akun pengguna saat ini dan keanggotaan grup Windows, dan menyimpan output ke file teks (test.txt) untuk exfiltration.
Hal ini memungkinkan aktor ancaman untuk memeriksa hak istimewa dari akun yang dikompromikan dan mengeksplorasi peluang gerakan lateral dalam lingkungan yang dilanggar.
.jpg)
Sumber: Watchtowr
BleepingComputer telah menghubungi Fortra yang meminta komentar tentang temuan Watchtowr, tetapi kami belum menerima tanggapan.
Mengingat status eksploitasi aktif untuk CVE-2025-10035, administrator sistem yang belum mengambil tindakan, disarankan untuk meningkatkan ke versi yang ditambal, baik 7.8.4 (Terbaru) atau 7.6.3 (Rilis Suptanya).
Salah satu mitigasi adalah menghapus paparan internet publik untuk konsol admin ke mana -mana.
Fortra memiliki juga merekomendasikan Admins memeriksa file log untuk kesalahan yang mengandung string ‘SignedObject.getObject,’ untuk menentukan apakah instance telah dipengaruhi.
