📱 Microsoft подтвердила активную эксплуатацию уязвимости нулевого дня (CVE-2025-29824) в подсистеме CLFS Windows. Группировка RansomEXX (aka Storm-2460) использует её для эскалации привилегий до уровня SYSTEM, что позволяет полностью контролировать атакованные системы.

Локальная, но смертоносная – для атаки достаточно изначально иметь минимальные права (например, через фишинг или RDP).
Тихий захват – не требует действий пользователя (exploit работает в фоне).
Патчи есть, но не для всех – Windows 10 x64/32-bit пока без защиты, а это огромный пласт корпоративных сетей.

Как работает атака?
1. Первичное заражение – через фишинг или уязвимые публичные сервисы.
2. Установка бэкдора PipeMagic – собирает данные, открывает удалённый доступ.
3. Эксплуатация CVE-2025-29824 – повышение прав до SYSTEM.
4. Развёртывание ransomware + записка с выкупом (!_READ_ME_REXX2_!.txt).

💀RansomEXX – не новички, их атаки всегда целевые (корпорации, госсектор).

PipeMagic – швейцарский нож хакеров – его видели ещё в 2022-м, но до сих пор активно используют.
CLFS – слабое звено – это уже вторая критическая уязвимость в этом драйвере за два года (после CVE-2023-28252).

Подробнее: https://extrim-security.ru/news-ib/tpost/5rhpe40nj1-kiberugroza-novogo-urovnya-ransomexx-ata