😱 Уязвимость ToolShell в SharePoint бьет рекорды по атакам!

Хакерская группа ToolShell устроила массовый взлом через дыры в SharePoint! 💥 Уязвимость позволяет атаковать без авторизации — уже пострадали 400+ организаций, включая госструктуры. Главные риски: устаревшие серверы и простые векторы атак. Эксперты советуют срочно патчить системы и мониторить подозрительную активность. #кибербезопасность #SharePoint #атаки

Техническая сводка угрозы
Уязвимость CVE-2025-53770 в Microsoft SharePoint, получившая название ToolShell, представляет критическую угрозу безопасности корпоративного уровня. Эксплойт позволяет неаутентифицированным злоумышленникам выполнять произвольный код через уязвимый компонент ToolPane.aspx, обходя системы MFA. Техническая оценка CVSS 9.8/10 обусловлена триадой: простота эксплуатации (PoC доступен в открытых источниках), полный контроль над целевыми серверами и массовый охват – более 400 подтвержденных компрометаций за 4 дня. Основные группы атакующих (Linen Typhoon, Violet Typhoon, Storm-2603) связаны с китайскими государственными структурами. Патч Microsoft, выпущенный аварийно 20 июля 2025, требует немедленного применения с последующим поиском индикаторов компрометации (IoC) в журналах событий.

Техническая детализация уязвимости CVE-2025-53770

Архитектурный контекст уязвимости
Уязвимость возникает в механизме обработки сериализованных данных компонента ToolPane.aspx, отвечающего за рендеринг боковых панелей SharePoint. Атака эксплуатирует цепочку:

1. Обход аутентификации через невалидируемые параметры HTTP-запросов
2. Небезопасная десериализация пользовательского ввода в контексте приложения
3. Нарушение границ доверия между веб-интерфейсом и ядром SharePoint

Технические параметры эксплойта:

• Вектор: HTTP POST-запросы к /_layouts/15/ToolPane.aspx
• Полезная нагрузка: Загрузка ASPX-шеллов (spinstall[0-N].aspx)
• Уязвимые версии: SharePoint Server 2019, SharePoint Enterprise Server 2016

Механизм атаки и операционные последствия

Фазы компрометации:

1. Initial Access: POST-запрос с эксплойтом, внедряющий веб-шелл
2. Privilege Escalation: Извлечение MachineKey через шелл для генерации валидных аутентификационных токенов
3. Persistence: Установка дополнительных бэкдоров и креденциальных харвестеров
4. Lateral Movement: Использование доменных привилегий SharePoint для перемещения по сети

Ключевые индикаторы компрометации (IoC):

• Неавторизованные вызовы ToolPane.aspx в IIS-логах
• Нестандартные ASPX-файлы в директориях _layouts (spinstall*.aspx)
• Аномальные процессы w3wp.exe, выполняющие powershell.exe

Группы атакующих и целевые инфраструктуры

Подтвержденные цели включают Национальную администрацию ядерной безопасности США (NNSA) и корпорации из Fortune 500.

Стратегии смягчения и технический ответ

Немедленные действия:

1. Установка аварийного патча KB5025148 (CVE-2025-53770)

2. Сканирование на наличие шеллов:

3. Аудит учетных записей сервиса SharePoint на предмет аномальных привилегий

Долгосрочные контрмеры:

• Реализация WAF с сигнатурами десериализации (рекомендации Akamai/Palo Alto)
• Сегментация сетей SharePoint и ограничение исходящего доступа
• Регулярный аудит конфигураций MachineKey

Прогнозы и аналитика угрозы

Уязвимость станет основным вектором для:

• Краж данных из корпоративных хранилищ
• Атак на цепочки поставок через интеграции SharePoint
• Крипто-джекинга в корпоративных сетях

Глубина последствий обусловлена архитектурной ролью SharePoint как центра аутентификации в Enterprise-средах. Технические команды должны реализовать контрольные точки мониторинга десериализации и подготовить playbooks для инцидентов типа RCE в LOB-приложениях.