ESET Research monitorizează atacurile care implică vulnerabilitățile zero-day ToolShell, descoperite recent.

Pe 19 iulie 2025, Microsoft a confirmat că un set de vulnerabilități de tip zero‑day din SharePoint Server, denumit ToolShell, este exploatat activ. ToolShell este alcătuit din CVE‑2025‑53770, o vulnerabilitate de execuție a codului de la distanță, și CVE‑2025‑53771, o vulnerabilitate de tip server spoofing. Aceste atacuri vizează serverele Microsoft SharePoint on‑premises, în special cele care rulează SharePoint Subscription Edition, SharePoint 2019 sau SharePoint 2016. SharePoint Online din Microsoft 365 nu este afectat. Exploatarea acestor vulnerabilități le permite atacatorilor să obțină acces la sisteme restricționate și să fure informații sensibile.

Începând cu 17 iulie, ToolShell a fost exploatat pe scară largă de tot felul de atacatori, de la simpli infractori cibernetici până la grupări APT asociate statelor naționale. Deoarece SharePoint este integrat cu alte servicii Microsoft, precum Office, Teams, OneDrive și Outlook, compromiterea acestuia le poate oferi atacatorilor un nivel uluitor de acces în întreaga rețea afectată.

Ca parte a atacului, actorii de amenințare leagă adesea între ele patru vulnerabilități: CVE‑2025‑49704 și CVE‑2025‑49706, deja corectate anterior, alături de CVE‑2025‑53770 și CVE‑2025‑53771 menționate deja. Începând cu 22 iulie, și CVE‑2025‑53770, și CVE‑2025‑53771 au fost corectate.

Payload-uri Webshell

Exploatarea ToolShell le permite atacatorilor să ocolească autentificarea multi-factor (MFA) și autentificarea unică (SSO). După ce pătrund în serverul țintă, atacatorii au fost observați distribuind webshell-uri malițioase pentru a extrage informații din sistemul compromis. Unul dintre script-urile folosite frecvent în acest scop se numește spinstall0.aspx, pe care îl monitorizăm sub denumirea MSIL/Webshell.JS.

De asemenea, pe 22 iulie 2025, am observat că atacatorii au încercat să distribuie și alte webshell-uri ASP simple, capabile să execute comenzi furnizate de atacatori prin cmd.exe. Aceste webshell-uri au fost distribuite folosind următoarele nume de fișiere: ghostfile346.aspx, ghostfile399.aspx, ghostfile807.aspx, ghostfile972.aspx și ghostfile913.aspx.

Produsele ESET au detectat pentru prima dată o tentativă de exploatare a unei părți din lanțul de execuție – vulnerabilitatea SharePoint/Exploit.CVE-2025-49704 – pe 17 iulie în Germania. Totuși, deoarece această tentativă a fost blocată, payload-ul final de tip webshell nu a fost livrat sistemului țintă. Prima înregistrare a payload-ului propriu-zis a fost pe 18 iulie, pe un server din Italia. Așa cum se observă în Figura 1, de atunci am monitorizat exploatări active ale ToolShell în întreaga lume, Statele Unite fiind țara cea mai vizată, cu 13,3% din atacuri conform datelor noastre de telemetrie.

Figura 1. Distribuția geografică a atacurilor ToolShell în perioada 17 iulie 2025 – 22 iulie 2025

Monitorizarea atacurilor

Monitorizarea ToolShell de către noi, în perioada 17 – 22 iulie, a arătat că atacurile proveneau de la adresele IP indicate în Tabelul 1 (toate orele sunt UTC).

Tabelul 1. Adresele IP ale atacatorilor

| Figura 2 prezintă cronologia atacurilor provenite de la cele mai active trei adrese IP.

Figura 2. Atacuri provenite de la cele mai active adrese IP, înregistrate pe oră (valorile zero nu sunt afișate).

În mod îngrijorător, Microsoft a raportat că mai mulți actori de amenințare aliniați Chinei s-au alăturat tentativelor de exploatare. ESET a detectat un backdoor asociat cu LuckyMouse – o grupare de spionaj cibernetic ce vizează în principal guverne, companii de telecomunicații și organizații internaționale – pe un sistem din Vietnam vizat prin ToolShell. În această etapă, rămâne neclar dacă sistemul fusese compromis anterior sau dacă backdoor-ul a fost introdus în timpul atacului curent.

Cu toate acestea, grupările APT aliate Chinei au profitat cu siguranță de ocazie pentru a adăuga lanțul de exploatare la arsenalul lor: conform telemetriei noastre, victimele atacurilor ToolShell includ mai multe organizații guvernamentale importante, care au fost ținte pe termen lung ale acestor grupuri.

Deoarece secretul a fost dezvăluit, ne așteptăm ca mulți alți atacatori oportuniști să profite de sistemele neactualizate. Tentativele de exploatare sunt în curs și cu siguranță vor continua. Prin urmare, dacă folosiți SharePoint Server, se recomandă următoarele (conform indicațiilor Microsoft):

– Utilizați doar versiunile acceptate,
– Aplicați cele mai recente actualizări de securitate,
– Asigurați-vă că Interfața de Scanare Antimalware (AMSI/ Antimalware Scan Interface) este activată și configurată corect,  împreună cu o soluție de securitate cibernetică adecvată, și
– Înlocuiți periodic cheile ASP.NET din SharePoint Server

Pentru orice întrebări legate de cercetările noastre publicate recent, ne puteți contactați la adresa [email protected].
ESET Research oferă rapoarte private de informații despre grupări APT și fluxuri de date. Pentru orice informații despre acest serviciu, vizitați pagina ESET Threat Intelligence.

IoC-uri

O listă completă de indicatori de compromitere (IoC-uri) și mostre pot fi găsite în hubul nostru GitHub.

Fișiere

Rețea

| Acest tabel a fost realizat folosind versiunea 17 a framework-ului MITRE ATT&CK.