Doğu Asya’daki bazı ülkeler, yeni bir siber casusluk saldırısıyla karşı karşıya. Araştırmacılar, Windows için popüler bir ofis yazılımı olan WPS Office’te, uzaktan kod çalıştırma güvenlik açığı (CVE-2024-7262) tespit etti. Güney Kore merkezli bir siber casusluk grubu APT-C-60 bu açığı kullandı. Grup özellikle Doğu Asya ülkelerini hedef aldı.
Uzmanlar, açığın ardındaki hatalı kodu (CVE-2024-7263) incelediklerinde, saldırganların bu kodu başka bir şekilde de kullanabildiğini keşfettiler. Güvenlik açıkları keşfedildikten sonra, ilgili yazılım sağlayıcısı Kingsoft tarafından yamalandı. Saldırının sonunda, siber casusluk yeteneklerine sahip özel bir arka kapı yazılımının yüklendiği bildirildi.
WPS Office’in dünya çapında 500 milyondan fazla kullanıcısı olması, bu tür bir güvenlik açığının ciddi sonuçlara yol açabileceğini gösteriyor. Ayrıca, bağımsız bir güvenlik şirketi olan DBAPPSecurity, bu açığın Çin’deki kullanıcıları hedef almak için kötüye kullanıldığını doğruladı.
Kötü amaçlı yazılımın yayılması, MHTML formatında hazırlanan bir elektronik tablo aracılığıyla gerçekleştirildi. Bu belge, WPS Spreadsheet uygulaması kullanılarak açıldığında, bir dosyanın uzaktan indirilmesini ve kötü niyetli bir kütüphanenin yürütülmesini tetikleyebiliyor. Saldırganlar, hedef bilgisayara kötü niyetli kütüphaneyi yerleştirerek, kullanıcının belgeyi tıklamasıyla istismarı gerçekleştirdiler.
Yama yayımlandıktan sonra yapılan analizler, açığın tam olarak düzeltilmediğini gösterdi. ESET araştırmacıları, hatalı girdi doğrulaması nedeniyle güvenlik açığından yararlanmanın başka bir yolunu da keşfetti. Kingsoft, her iki güvenlik açığını kabul edip yamaladı ve yüksek önem dereceli iki CVE girişi oluşturuldu: CVE-2024-7262 ve CVE-2024-7263.
Bu olay, yama doğrulama sürecinin ne kadar önemli olduğunu bir kez daha gözler önüne serdi. Uzmanlar, WPS Office kullanıcılarının yazılımlarını en son sürüme güncellemelerini şiddetle tavsiye ediyor.
