CVE-2025-29824-Exploit

🚨 CVE-2025-29824 Exploit: PipeMagic Ransomware-Kette

📌 Kritische Schwachstellenübersicht

Privilege-Escalation-Fehler in Windows CLFS → Hijack von SYSTEM-Berechtigungen
Ausgenutzt in aktiven Ransomware-Angriffen der Bedrohungsgruppe Storm-2460

🖥️ Betroffene Systeme

Systemliste erweitern

🧩 Arbeitsablauf der Exploit-Kette

graph LR A[Erstzugriff] -->|certutil| B[Schädlicher MSBuild-Payload] B --> C[PipeMagic-Trojaner] C -->|CVE-2025-29824| D[CLFS-Kernel-Exploit] D -->|RtlSetAllBits| E[Token-Überschreibung 0xFFFFFFFF] E --> F[SYSTEM-Berechtigungen] F --> G[LSASS-Dump] G --> H[Ransomware-Bereitstellung]

1. Erstzugriff
   Unbekannter Vektor → Kompromittierte Websites via certutil

2. PipeMagic-Lader
   Modularer Trojaner (aktiv seit 2022)

3. Kernel-Exploit
   // Logik der Kernschwachstelle CLFS_Trigger_Corruption(); RtlSetAllBits(exploit_process_token, 0xFFFFFFFF);

4. Post-Exploitation
   • LSASS-Speicherauszug → Diebstahl von Anmeldedaten

   • Dateiverschlüsselung mit .random_extension

   • Bereitstellung von RansomEXX-TOR-Notizen

🌩️ Angriffszuordnung & Verlauf

CVE Jahr Ransomware Vektor

CVE-2023-28252 2023 Nokoyawa PipeMagic → CLFS

CVE-2025-24983 2025 Unbekannt PipeMagic → Win32K

CVE-2025-29824 2025 RansomEXX PipeMagic → CLFS

Zielbranchen:
🏢 US-IT/Immobilien • 🇻🇪 Venezuela Finanzen • 🇪🇸 Spanische Software • 🇸🇦 Saudi-Einzelhandel

🛡️ Anforderungen an die Schadensbegrenzung

• Patch angewendet: MS April 2025 Patch Tuesday ! Erkennungspriorität: certutil -> MSBuild-Aktivität

• Blockierungsmuster: RtlSetAllBits-Token-Manipulation

Win11 24H2 Immunität:
NtQuerySystemInformation auf SeDebugPrivilege-Konten beschränkt

⚠️ Rechtlicher & ethischer Hinweis

Dieser Exploit wird NUR ZU FORSCHUNGSZWECKEN veröffentlicht.

Aktive Ransomware-Bereitstellung bestätigt in:

https://thehackernews.com/2025/04/pipemagic-trojan-exploits-windows-zero.html

!https://img.shields.io/badge/RISK-CRITICAL-red !https://img.shields.io/badge/PATCHED-April_2025-green !https://img.shields.io/badge/SCOPE-Win7→Server_2025-orange