CVE-2025-26633 Pažeidžiamumas: kas tai yra „Windows“ saugos grėsmė

Kibernetinio saugumo aplinka nenustoja vystytis, atsiranda naujų pažeidžiamumų, kurie meta iššūkį net ir saugiausioms sistemoms. Viena iš tokių kritinių saugos trūkumų yra CVE-2025-26633, dar žinomas kaip „MSC EvilTwin“. Šis pažeidžiamumas paveikia „Microsoft Windows“ ir juo aktyviai naudojasi kibernetiniai nusikaltėliai, norėdami įdiegti kenkėjišką programinę įrangą. Įmonėms ir asmenims, siekiant apsaugoti savo sistemas, labai svarbu suprasti jo pasekmes ir grėsmės veikėjų taikomas taktikas.

Kas yra CVE-2025-26633?

CVE-2025-26633 yra pažeidžiamumas, rastas „Microsoft“ valdymo pulto (MMC) sistemoje. Tai leidžia užpuolikams vykdyti kenkėjišką kodą naudojant manipuliuojamą „Microsoft Console“ (.msc) failą. Išnaudojus šį trūkumą galima neteisėtai diegti programinę įrangą, pažeisti sistemą ir galimas duomenų vagystes.

Kibernetiniai nusikaltėliai panaudojo šį pažeidžiamumą ginklu, įterpdami kenksmingus naudingus krovinius į aprūpinimo paketus (.ppkg), pasirašytus Windows Installer (.msi) failus ir .msc failus. Šios naudingos apkrovos įdiegia užpakalines duris, kurios suteikia nuolatinę prieigą prie pažeistų sistemų.

Kas yra už išnaudojimo?

Kibernetinė nusikaltėlių grupė, žinoma kaip Water Gamayun, taip pat vadinama EncryptHub arba LARVA-208, buvo nustatyta kaip pagrindinė CVE-2025-26633 išnaudojimo veikėja. Ši grupė yra pradėjusi kenkėjiškų programų atakas, platinanti duomenų vagystės programinę įrangą ir panaudojusi pažangias vengimo priemones, kad būtų išvengta aptikimo.

„Water Gamayun“ pirmą kartą sulaukė dėmesio 2024 m. viduryje dėl dalyvavimo platinant įvairias kenkėjiškų programų šeimas per apgaulingas svetaines. Nuo tada grupė perėjo prie pažangesnės atakų diegimo infrastruktūros, naudodama savo komandų ir valdymo (C&C) serverius.

Kaip vykdomas išpuolis?

Užpuolikai naudoja kelis būdus, kad įsiskverbtų į sistemas. Pagrindinė jų taktika apima kenkėjiškų .msi failų užmaskavimą kaip teisėtus programinės įrangos diegimo įrenginius, pvz., pranešimų siuntimo ir susitikimų programas, tokias kaip DingTalk, QQTalk ir VooV Meeting. Įdiegę šie failai vykdo „PowerShell“ scenarijus, kad atsisiųstų ir paleistų kitus kenksmingus krovinius.

Vienas iš pagrindinių šios atakos metu įdiegtų kenkėjiškų programų variantų yra SilentPrism , PowerShell implantas, galintis vykdyti apvalkalo komandas, palaikyti nuotolinę prieigą ir išvengti saugumo aptikimo mechanizmų. Kitas užpakalinės durys, DarkWisp , specializuojasi sistemos žvalgybos, duomenų išfiltravimo ir atkaklumo srityse, todėl užpuolikai gali kontroliuoti užkrėstą mašiną.

Paskutinis atakos etapas apima MSC EvilTwin įkroviklį , kuris išnaudoja CVE-2025-26633, kad paleistų nesąžiningą .msc failą, todėl įdiegiamas Rhadamanthys Stealer . Ši kenkėjiška programa skirta rinkti neskelbtinus vartotojo duomenis, įskaitant saugomus kredencialus, tinklo informaciją ir išsamią sistemos konfigūracijos informaciją.

Pažeidžiamumo pasekmės

CVE-2025-26633 naudojimas kelia rimtą pavojų tiek organizacijoms, tiek individualiems vartotojams. Kai kurios labiausiai susirūpinimą keliančios pasekmės yra šios:

1. Neteisėta prieiga prie sistemos – užpuolikai įgyja nuolatinę užkrėstų įrenginių kontrolę ir leidžia nuotoliniu būdu vykdyti komandas.
2. Duomenų vagystė – naudojant šį išnaudojimą įdiegta kenkėjiška programa renka slaptažodžius, seansų duomenis, iškarpinės istoriją ir kitą konfidencialią informaciją.
3. Įmonių šnipinėjimas – įmonėms gresia intelektinės nuosavybės vagystės ir tikslinės kibernetinės atakos, ypač jei pažeidžiami jautrūs įmonės duomenys.
4. Finansiniai nuostoliai – pavogti kredencialai gali būti naudojami apgaulingiems sandoriams, o įmonės gali susidurti su teisinėmis ir reguliavimo pasekmėmis dėl duomenų pažeidimų.
5. Kompromisas tinkle – kenkėjiška programa gali plisti organizacijos tinkle, paveikti kelias sistemas ir sukelti didelę žalą.

Ginantis nuo CVE-2025-26633 išnaudojimų

Atsižvelgiant į aktyvų šio pažeidžiamumo išnaudojimą, organizacijos ir pavieniai vartotojai turi nedelsiant imtis veiksmų, kad apsaugotų savo sistemas:

• Taikykite saugos pataisas – „Microsoft“ jau išleido naujinimus, skirtus CVE-2025-26633. Šių pataisų įdiegimas kuo greičiau yra labai svarbus siekiant sumažinti riziką.
• Stebėkite įtartiną veiklą – turėtų būti ištirtas neįprastas sistemos elgesys, neteisėtas tinklo srautas ir nežinomi .msc failų vykdymai.
• Naudokite „Endpoint Protection“ – pažangių galinių taškų saugos sprendimų diegimas gali padėti aptikti kenkėjiškų programų užkrėtimą ir užkirsti jiems kelią.
• Apriboti failų vykdymą – apribojus .msc, .msi ir PowerShell scenarijų vykdymą tik patikimiems administratoriams, sumažinamas kenksmingo kodo poveikis.
• Mokykite vartotojus – didindami darbuotojų ir asmenų informuotumą apie sukčiavimo sukčiavimą ir programinės įrangos atsisiuntimo riziką, galite užkirsti kelią pradiniam įsiskverbimui.

Paskutinės mintys

CVE-2025-26633 kelia didelę grėsmę kibernetiniam saugumui, nes sudėtingi užpuolikai naudoja pažangias technologijas, kad išnaudotų „Windows“ pažeidžiamumą. Suprasdami, kaip veikia pažeidžiamumas, kas yra už atakų, ir jo keliamą riziką, kiekvienas gali imtis aktyvių veiksmų, kad apsisaugotų nuo išnaudojimo. Siekiant sumažinti sėkmingos atakos riziką, būtina nuolat atnaujinti sistemas, stebėti įtartiną veiklą ir laikytis griežtos saugos politikos. Kibernetinės grėsmės ir toliau vystosi, tačiau taikydami tinkamas saugumo priemones asmenys ir įmonės gali likti apsaugoti nuo naujų pažeidžiamumų, tokių kaip MSC EvilTwin.