CVE-2025-1055Active Exploitation

🚨 THREAT ALERT: We’ve just released an open-source emergency mitigation script to defend against the Warlock ransomware (Storm-2603/Longlegs) attacks targeting Microsoft SharePoint. Our PowerShell script automates critical defenses: 🛡️ Blocks the BYOVD attack (CVE-2025-1055) 🛑 Disables rogue VS Code tunneling 🔍 Audits SYSVOL for staged payloads Get the script and full incident response checklist here: 🔗 https://github.com/ubitquity/warlock-ransomware-remediation/tree/main #UBITQUITY #Ransomware #Warlock #SharePoint #InfoSec #IncidentResponse #BlueTeam

🚨 GÜVENLİK BÜLTENİ: DragonForce Fidye Yazılımı MS Teams Altyapısını Arka Kapı Olarak Kullanıyor (CVE-2023-52271 / CVE-2025-61155 / CVE-2025-1055) Merhaba #Brolyz Fidye yazılımı gruplarının savunma atlatma tekniklerinde kritik bir gelişme raporlandı. Symantec ve araştırmacılara göre DragonForce, Komuta ve Kontrol (C2) trafiğini gizlemek için Microsoft Teams’in TURN relay altyapısını kötüye kullanıyor. Bu yöntem özellikle #orta ve büyük ölçekli kurumların ağ güvenliğinde ciddi kör nokta oluşturuyor. 📌 Özet Saldırganlar ilk erişimi genellikle yamalanmamış MSSQL/SQL sunucuları üzerinden sağlıyor. İçeri girdikten sonra Go tabanlı özel bir arka kapı (Backdoor.Turn) yükleniyor. Bu yazılım, Microsoft kimlik servislerinden geçici Teams token’ı alarak meşru Microsoft altyapısı üzerinden QUIC tabanlı iletişim kuruyor. Böylece C2 trafiği normal MS Teams görüşmesi #gibi görünerek güvenlik katmanlarını atlatabiliyor. Ek olarak BYOVD tekniğiyle güvenlik ürünlerini devre dışı bırakma girişimleri de gözlemleniyor. ⚠️ Riskler • C2 trafiğinin MS Teams gibi meşru servislerin içine gizlenmesi • Güvenlik duvarı ve IPS sistemlerinin saldırıyı tespit edememesi • Uzun süre fark edilmeden ağ içinde kalıcılık ve yatay hareket • Veri sızdırma (Data Exfiltration) ve fidye şifreleme aşaması 🛠️ Çözüm ve Öneriler 1️⃣ Süreç Bazlı Kontrol: Yalnızca meşru teams.exe süreçlerinin Teams altyapısına erişmesine izin verin. 2️⃣ BYOVD Koruması: WDAC üzerinden Microsoft Vulnerable Driver Blocklist’i aktif edin. 3️⃣ SQL Güvenliği: İnternete açık MSSQL/SQL sunucularını kapatın ve yamalayın. 4️⃣ Threat Hunting: AD üzerinde şüpheli hesap oluşturma ve yetki yükseltme aktivitelerini analiz edin. 🔍 Unutmayın: Saldırganlar artık güvenilir bulut servislerini doğrudan gizlenme katmanı olarak kullanıyor. Sıfır Güven (Zero Trust) yaklaşımını tüm ağ mimarinize uygulamayı unutmayın. Güvenli haftalar dilerim! 🛡️

exploited on-prem SharePoint vulnerabilities to breach a water utility, telecom provider, regional government, and university, then used a BYOVD technique with the signed K7RKScan driver (CVE-2025-1055) to kill AV/EDR on 40 hosts in roughly two hours.

Çin Bağlantılı Warlock Fidye Yazılımı, SharePoint Açıklarını ve Güvenlik Yazılımı Devre Dışı Bırakma Araçlarını Kullanarak Su ve Telekom Altyapısını Hedef Aldı! Microsoft SharePoint'teki ToolShell açıklarını istismar eden Çin bağlantılı Warlock tehdit aktörü, CVE-2025-1055 ile ilişkili K7RKScan.sys sürücüsünü (BYOVD) kullanarak güvenlik yazılımlarını devre dışı bırakıyor, http://ASP.NET makine anahtarlarını çalarak imzalı yükler üretiyor; Portekizce ve İspanyolca konuşulan ülkelerde su, telekomünikasyon, hükümet ve üniversitelerdeki en az dört kuruluşu hedef aldı. • 40 makineye güvenlik yazılımı devre dışı bırakma araçları, 33 makineye fidye yazılımı yerleştirildi. • Saldırı, SharePoint açıklarından alınan erişimle başlıyor; makine anahtarlarının çalınması ise güvenilir imzalı yüklerin üretilmesini sağlıyor. Güvenlik yazılımlarının kendi kötü amaçlı sürücüsüyle kapatıldığı bir saldırıda, savunma katmanlarının kendi çekirdek düzeyindeki bileşenlerinin de zafiyet olabileceğini; kritik altyapının ilk savunma hattının sahte bir güvenlik sürücüsüyle çökertilebileceğini gösteriyor. #SiberGüvenlik #Warlock #Ransomware

Warlock ransomware operators chained four SharePoint CVEs for domain access on July 22. Unspecified on-prem builds were hit with CVE-2025-49704, CVE-2025-49706, CVE-2025-53770, and CVE-2025-53771 via ToolShell. Microsoft linked the same chain to Linen Typhoon, Violet Typhoon, and Storm-2603. Within two hours the operators dropped an AV/EDR killer to 40 hosts via BYOVD. They abused the signed K7RKScan.sys driver through CVE-2025-1055 to load a malicious kernel module and disable protections, then deployed a multi-version SharePoint web shell for persistence. NetExec handled AD enumeration and spraying while VS Code Insiders ran as a service for tunneling. Ransomware binaries were staged in the domain SYSVOL share for GPO and logon script distribution. Artifacts were deleted two days later. Warlock executed on 33 hosts by July 31 against a water utility, telecom provider, regional government, and university in Portuguese- and Spanish-speaking regions. Symantec attributes the activity to Longlegs. BYOVD via K7RKScan plus SYSVOL staging turned SharePoint access into domain-wide execution in under ten days.

NØØT Security Alerts Classification: Critical CVE: CVE-2025-1055 Product: K7 Security / K7 Security Anti-Malware Summary: VulnCheck reports real-world exploitation activity affecting K7 Security / K7 Security Anti-Malware. Evidence: Public PoC/exploit available; Ransomware use confirmed; Active exploitation reported Impact: The vulnerability is associated with ransomware activity and may contribute to compromise of exposed systems. Action: Prioritize vendor remediation, identify exposed affected systems, and investigate for evidence of exploitation when applicable. Date: 16 Jun 2026 Source: https://vulncheck.com/xdb/4ec87af0852d #NØØT #CyberSecurity #InfoSec #ThreatIntelligence #CyberThreats #CVE #CyberDefense #K7Security #K7SecurityAnti_Malware #CVE_2025_1055 #ActiveExploitation #Exploit #Ransomware #RansomwareAttack