Злоумышленники exploitиpyют уязвимость CVE-2025-32975 в системах Quest KACE, достигая максимального уровня опасности — CVSS 10.0. По этим компании Arctic Wolf, активность хакеров наблюдается с 9 марта 2026 года, что представляет серьёзную угрозу для безопасности не обновлённых систем, доступных в интернете.
Опасность уязвимости для систем управления
CVE-2025-32975 — это уязвимость, позволяющая хакерам обойти аутентификацию и выдавать себя за законных пользователей. При успешной эксплуатации этой уязвимости злоумышленники могут полностью захватить административные учетные записи. Решение проблемы было предложено Quest в мае 2025 года, но многие системы всё ещё остаются под угрозой.
Действия злоумышленников
На текущий момент хакеры используют эту уязвимость для захвата административных аккаунтов и удалённого выполнения команд. Они загружают закодированные на Base64 payloads на внешние серверы, используя curl, и создают дополнительные административные учётные записи с помощью процесса runkbot.exe, связанным с агентом SMA. Также фиксировались изменения в реестре Windows через PowerShell для обеспечения постоянства или изменения конфигураций системы.
По этим Arctic Wolf, злоумышленники применяют инструменты, такие как Mimikatz, для кражи учётных данных. Также они проводят разведку, перечисляя вошедших пользователей и администраторов, делается доступ к резервным инфраструктурам, таким как Veeam и Veritas.
Рекомендации для администраторов
Для защиты от этой угрозы администраторам настоятельно рекомендуется обновить системы до версий 13.0.385, 13.1.81, 13.2.183, 14.0.341 (Patch 5) и 14.1.101 (Patch 4) и избегать публикации SMA в интернете. Игнорирование этих мер может привести к утечкам этих и серьёзным последствиям для бизнеса.
С учётом текущей угрозы, особенно важно учитывать уровень защиты этих в организациях, использующих Quest KACE в России и СНГ, поскольку подобные атаки могут вскрыть слабые места в системах безопасности и стать причиной значительных потерь.