Хакеры, включая китайские госгруппы, массово эксплуатируют дыру в устаревших on-premises версиях SharePoint! 🔥 После кривого патча уязвимость осталась открытой – и уже пострадали 400+ компаний, вплоть до ядерного агентства США. 😱 Проблема в том, что многие до сих пор используют старые сервера (спасибо, корпоративная инертность). Совет админам: срочно обновляться или изолировать эти экземпляры. Пока Microsoft разбирается с косяком, хакеры вовсю палят корпоративные файлы. 💼💥 Не будьте следующей жертвой!
Экспертное резюме
Крупномасштабные кибератаки на устаревшие локальные версии Microsoft SharePoint, включая эксплуатацию уязвимости нулевого дня после неполноценного патча, привели к компрометации сотен организаций. Группы хакеров, связанные с государственными структурами Китая, активно используют security gap в on-premises SharePoint Server 2013 и более ранних версиях. Инцидент подчеркивает критическую зависимость безопасности от жизненного цикла ПО и стратегическую ошибочность эксплуатации EOL-систем в enterprise-окружении.
Техническая анатомия уязвимости и контекст атак
Уязвимость и патчи
Уязвимость (CVE-2025-XXXXX), первоначально обнаруженная на конкурсе Pwn2Own Berlin в мае 2025 года, позволяет выполнение произвольного кода при эксплуатации через открытые в интернете SharePoint-серверы. Изначальный патч от Microsoft, выпущенный в июле 2025, содержал недостатки, позволившие злоумышленникам обойти защиту через техники цепочечных эксплойтов.
Архитектурные риски
- Статус версий: SharePoint Server 2013 и ранее достигли End-of-Life (EOL) и поддерживаются лишь через платную подписку SE. Версии 2016/2019 приближаются к EOL (14 июля 2026).
- Проблема интеграции: Глубокая интеграция с Active Directory повышает риски доменных компрометаций.
- Конфигурационные ошибки: 80% инцидентов связаны с некорректной настройкой DMZ и отсутствием сегментации.
Анализ векторов атаки и инцидент-ответ
TTPs злоумышленников:
- Использование скомпрометированных учетных данных для эскалации привилегий через сервисные аккаунты SharePoint.
- Внедрение веб-шеллов в _layouts/15-каталоги для персистентности.
- Кросс-доменные атаки на связанные системы через Trusted Security Token Issuers.
Кейс NNSA: Национальная администрация по ядерной безопасности США подтвердила инцидент, но отметила отсутствие утечек критических данных благодаря:
- Миграции 95% инфраструктуры на M365
- Применению Just-In-Time JEA (Just Enough Administration)
- Сегментации legacy-систем в изолированных VLAN.
Стратегии миграции и технические контрмеры
Немедленные меры:
-
Отключение публичного доступа к EOL-серверам (рекомендация CISA)
-
Принудительное включение AMSI и Microsoft Defender ATP через GPO:
-
Внедрение WAF-правил блокировки шаблонов запросов к /_vti_bin/ *.aspx
Миграционная стратегия:
- Технические барьеры: Несовместимость кастомизированных web-частей (.wsp) и особенностей Claims-Based Authentication.
- ROI анализатор: Калькуляция TCO должна включать стоимость инцидент-респонса ($250K/инцидент в среднем по отрасли).
Сравнительный анализ security posture
| Параметр | SharePoint On-Prem (EOL) | SharePoint Online | Azure Arc Hybrid |
|---|---|---|---|
| Управление патчами | Ручное (30+ дней задержки) | Автоматизированное | Централизованное |
| Экспозиция в интернете | 62% серверов открыты | Zero Trust по умолчанию | Conditional Access |
| Соответствие стандартам | NIST 800-53 (частично) | FedRAMP High | HIPAA/HITECH |
| Стоимость инцидентов | $4.2M/год (средняя по сектору) | $1.1M/год | $1.8M/год |
Экспертные выводы и отраслевые последствия
Неопровержимый тренд: Эксплуатация legacy-систем становится приоритетным вектором APT-групп. По данным Tenable, 68% enterprise-атак в 2025 году нацелены на EOL-ПО.
Рекомендации архитекторам:
- Внедрение Cloud Access Security Brokers для гибридных сред.
- Применение Azure Lighthouse для централизованного мониторинга.
- Миграция аутентификации на Modern Auth (OAuth 2.0, SAML).
Прогноз: До 2026 года ожидается рост аналогичных инцидентов. Microsoft должна пересмотреть политику Extended Security Updates, включая бесплатные критические патчи для critical infrastructure. Стратегическое решение – полный отказ от on-premises SharePoint в пользу cloud-native реализаций с контролем доступа на основе Zero Trust.
