Play-Ransomware nutzt Zero-Day-Schwachstelle in Windows zur Infiltration

MÜNCHEN (IT BOLTWISE) – Eine neue Bedrohung durch die Play-Ransomware zeigt, wie Cyberkriminelle Zero-Day-Schwachstellen in Windows ausnutzen, um Organisationen zu infiltrieren.

Die Play-Ransomware, auch bekannt als Balloonfly oder PlayCrypt, hat erneut zugeschlagen und dabei eine kürzlich gepatchte Sicherheitslücke in Microsoft Windows ausgenutzt. Diese Schwachstelle, bekannt als CVE-2025-29824, betrifft den Common Log File System (CLFS) Treiber und wurde von Microsoft erst letzten Monat behoben. Die Angreifer nutzten diese Lücke als Zero-Day, um eine nicht näher benannte Organisation in den USA zu attackieren. Laut dem Symantec Threat Hunter Team, das Teil von Broadcom ist, handelt es sich um eine Privilegieneskalationslücke, die es den Angreifern ermöglicht, sich erhöhte Rechte zu verschaffen.

Interessanterweise wurde die Schwachstelle über einen öffentlich zugänglichen Cisco Adaptive Security Appliance (ASA) als Einstiegspunkt ausgenutzt. Die Angreifer nutzten eine bisher unbekannte Methode, um sich innerhalb des Zielnetzwerks auf andere Windows-Maschinen zu bewegen. Besonders bemerkenswert ist der Einsatz von Grixba, einem maßgeschneiderten Informationsdieb, der zuvor der Play-Ransomware zugeschrieben wurde. Die Angreifer legten die Exploit-Dateien im Musikordner ab und gaben ihnen Namen, die Palo Alto Networks Software imitieren, wie “paloaltoconfig.exe” und “paloaltoconfig.dll”.

Während des Angriffs wurden zwei Dateien im Pfad C:\ProgramData\SkyPDF erstellt. Die erste Datei, PDUDrv.blf, ist eine Basisprotokolldatei des Common Log File Systems und ein Artefakt, das während der Ausnutzung entsteht. Die zweite Datei, clssrv.inf, ist eine DLL, die in den winlogon.exe-Prozess injiziert wird und die Fähigkeit hat, zwei zusätzliche Batch-Dateien abzulegen. Eine dieser Dateien, “servtask.bat”, wird verwendet, um Privilegien zu eskalieren, die SAM-, SYSTEM- und SECURITY-Registry-Hives zu dumpen und einen neuen Benutzer namens “LocalSvc” zu erstellen, der der Administratorgruppe hinzugefügt wird. Die andere Datei, “cmdpostfix.bat”, dient der Bereinigung von Exploit-Spuren.

Bemerkenswert ist, dass in diesem Eindringversuch keine Ransomware-Payload eingesetzt wurde. Dies deutet darauf hin, dass Exploits für CVE-2025-29824 möglicherweise mehreren Bedrohungsakteuren zur Verfügung standen, bevor Microsoft die Schwachstelle behoben hat. Die Art der Ausnutzung überschneidet sich nicht mit einer anderen Aktivitätsgruppe, die Microsoft als Storm-2460 bezeichnet hat und die die Schwachstelle in einer begrenzten Anzahl von Angriffen zur Verbreitung eines Trojaners namens PipeMagic genutzt hat.

Die Nutzung von Zero-Day-Schwachstellen durch Ransomware-Akteure zeigt einen besorgniserregenden Trend. Im vergangenen Jahr enthüllte Symantec, dass die Black Basta-Gruppe möglicherweise CVE-2024-26169, eine Privilegieneskalation im Windows Error Reporting Service, als Zero-Day ausgenutzt hat. Diese Entwicklungen unterstreichen die Notwendigkeit, Sicherheitslücken schnell zu schließen und Systeme regelmäßig zu aktualisieren, um derartige Bedrohungen abzuwehren.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!