Świeżo załatana krytyczna luka w Microsoft Windows Server Update Services (WSUS) jest teraz aktywnie wykorzystywana do wdrażania potężnego backdoora ShadowPad.
Południowokoreańskie centrum AhnLab Security Intelligence Center (ASEC) informuje, że atakujący:
🛑 Wykorzystali CVE-2025-59287, lukę umożliwiającą zdalne wykonanie kodu w WSUS
🚪 Uzyskali dostęp na poziomie systemu na wystawionych serwerach Windows
💻 Użyli PowerCat, aby uzyskać zdalne powłoki
📥 Pobrali ShadowPad za pomocą certutil i curl
🧬 Wdrożyli ShadowPad za pomocą DLL side-loading, wykorzystując legalny plik binarny
🔍 Czym jest ShadowPad?
ShadowPad to wyrafinowany modularny backdoor powiązany z chińskimi operacjami szpiegowskimi sponsorowanymi przez państwo, często uznawany za następcę PlugX. Jest trudny do wykrycia, rezyduje w pamięci i jest wysoce rozszerzalny.
🧩 Dlaczego to ważne
Po publikacji kodu exploita typu proof-of-concept atakujący szybko przekształcili tę lukę w broń, aby:
🔹 Przeprowadzać rozpoznanie
🔹 Wgrywać legalne narzędzia, takie jak Velociraptor
🔹 Uzyskiwać dostęp na poziomie SYSTEM
🔹 Wdrażać zaawansowane, uporczywe złośliwe oprogramowanie
ASEC ostrzega, że możliwość zdalnego wykonania kodu na poziomie systemu sprawia, że CVE-2025-59287 jest szczególnie niebezpieczna.
🔐 Środki zaradcze
✔ Zainstaluj natychmiast awaryjną poprawkę Microsoftu (out-of-band)
✔ Wyłącz rolę serwera WSUS, jeśli nie jest potrzebna
✔ Zablokuj zewnętrzny dostęp do instancji WSUS
✔ Przejrzyj logi pod kątem nietypowego użycia certutil, curl, PowerShella lub ETDCtrlHelper.exe
✔ Wyszukuj programy ładujące ShadowPad (ETDApix.dll)
