Microsoft mengatakan ransomexx ransomware geng telah mengeksploitasi cacat nol-day-severitas tinggi dalam sistem file log umum Windows untuk mendapatkan hak istimewa sistem pada sistem korban.
Kerentanan, dilacak sebagai CVE-2025-29824ditambal selama Patch Bulan Ini Selasa dan hanya dieksploitasi dalam sejumlah serangan.
CVE-2025-29824 disebabkan oleh kelemahan bebas-bebas penggunaan yang memungkinkan penyerang lokal dengan hak istimewa mendapatkan hak istimewa sistem dalam serangan kompleksitas rendah yang tidak memerlukan interaksi pengguna.
Sementara perusahaan telah mengeluarkan pembaruan keamanan untuk versi Windows yang terkena dampak, ia menunda pelepasan tambalan untuk sistem Windows 10 x64 dan 32-bit dan mengatakan mereka akan dirilis sesegera mungkin.
“Target termasuk organisasi dalam teknologi informasi (TI) dan sektor real estat Amerika Serikat, sektor keuangan di Venezuela, perusahaan perangkat lunak Spanyol, dan sektor ritel di Arab Saudi,” Microsoft mengungkapkan hari ini.
“Pelanggan yang menjalankan Windows 11, Versi 24H2 tidak terpengaruh oleh eksploitasi yang diamati, bahkan jika kerentanannya ada. Microsoft mendesak pelanggan untuk menerapkan pembaruan ini sesegera mungkin.”
Microsoft mengaitkan serangan ini ke geng ransomware ransomexx, yang dilacak sebagai Storm-2460. Para penyerang pertama kali menginstal malware backdoor Pipemagic pada sistem yang dikompromikan, yang digunakan untuk menggunakan eksploitasi CVE-2025-29824, muatan ransomware, dan! _Read_me_rexx2 _ !. Catatan tebusan txt setelah file mengenkripsi.
Seperti yang dilaporkan ESET bulan lalu, Pipemagic juga telah digunakan untuk menggunakan eksploitasi Menargetkan Subsistem Kernel Windows Win32 Zero-Day (CVE-2025-24983) Sejak Maret 2023.
Ditemukan oleh Kaspersky pada tahun 2022malware dapat memanen data yang sensitif, menyediakan akses jarak jauh penuh ke perangkat yang terinfeksi, dan memungkinkan penyerang untuk menggunakan muatan berbahaya tambahan untuk bergerak secara lateral melalui jaringan korban.
Pada tahun 2023, Kaspersky melihat pintu belakang ini saat menyelidiki Serangan ransomware Nokoyawa. Serangan-serangan ini mengeksploitasi driver sistem file log umum Windows lain Zero-Day, cacat eskalasi hak istimewa dilacak sebagai CVE-2023-28252.
Itu Operasi ransomware ransomexx dimulai sebagai Defray pada tahun 2018 tetapi dulu berganti nama menjadi ransomexx dan menjadi jauh lebih aktif mulai Juni 2020.
Geng ransomware ini juga menargetkan organisasi profil tinggi, termasuk Gigabyte raksasa perangkat keras komputer, Konica Minolta, Departemen Transportasi Texas (Txdot), Sistem pengadilan Brasil, Sistem Transportasi Umum STM MontrealDan Penyedia perangkat lunak pemerintah Tyler Technologies.
