Крупная волна кибератак захватила организации по всему миру из-за критической уязвимости в Microsoft SharePoint Server. Уязвимость CVE-2025-53770 позволяет удалённое выполнение кода и используется в активной фазе целевых атак на госучреждения, университеты, телеком и энергетические компании, а также частные предприятия в разных странах.
Microsoft SharePoint
Что произошло?
-
Уязвимость CVE-2025-53770 связана с десериализацией недоверенных данных в локально установленных (on-premises) версиях SharePoint Server, что позволяет злоумышленникам удалённо запускать произвольный код.
-
Атака классифицируется как zero-day — её начали использовать до выхода патча.
-
Подтверждённые цели: органы власти США, телеком-компании в Азии, энергетика, университеты и предприятия. Общее число скомпрометированных серверов может достигать десятков тысяч.
Некоторые подробности эксплойта
Атака строится на цепочке уязвимостей, включающей:
-
Обход аутентификации (связан с CVE-2025-49706),
-
Инъекцию кода (вариант CVE-2025-49704).
Этот эксплойт, получивший название ToolShell, был впервые представлен исследователями из Viettel Cyber Security на соревновании Pwn2Own в мае 2025 года.
Этапы эксплуатации:
1. Обход аутентификации через заголовок Referer
Первый шаг атаки использует уязвимость в обработке HTTP-заголовков. Злоумышленник отправляет POST-запрос к:
/_layouts/15/ToolPane.aspx
…с поддельным заголовком:
Referer: /_layouts/SignOut.aspx
Этот Referer заставляет SharePoint принять запрос как аутентифицированный. Это позволяет перейти к следующему этапу без необходимости в логине, MFA или SSO.
2. Десериализация недоверенных данных
Следующий этап атаки — передача вредоносно сериализованных .NET-объектов в теле запроса. Сервис ToolPane на сервере десериализует полученные данные без достаточной валидации и авторизации, что открывает возможность для инъекции произвольного кода.
3. Загрузка скрытого web shell (spinstall0.aspx)
Эксплойт позволяет загрузить .ASPX-файл spinstall0.aspx , который:
-
Не имеет интерактивного интерфейса.
-
Не вызывает очевидных тревожных вызовов к PowerShell.
-
Извлекает из конфигурации сервера критически важные ключи:
-
ValidationKey
-
DecryptionKey
-
Эти MachineKey-параметры лежат в основе криптографических операций SharePoint, включая подпись __VIEWSTATE.
4. Подделка __VIEWSTATE с валидной подписью
Используя украденные ключи, атакующий может создавать поддельные, но валидные __VIEWSTATE-объекты, которые:
-
Проходят валидацию как легитимные.
-
Могут включать вредоносный код.
-
Позволяют выполнять RCE, даже после перезагрузки сервера.
Это обеспечивает постоянный доступ к системе.
5. Простота атаки
Вся цепочка атаки укладывается в один HTTP-запрос, что делает возможным:
-
Массовое сканирование.
-
Использование ботнетов.
-
Обход большинства SIEM-систем.
6. Обход SSO и MFA
Поскольку аутентификация изначально обходится, все последующие уровни защиты, включая:
-
Multi-Factor Authentication
-
Single Sign-On
-
Azure AD Conditional Access
…становятся неэффективными. Атакующий получает доступ без логина, токенов и без учётной записи.
Обнаружение атаки крайне затруднено, поскольку вредоносный трафик маскируется под легитимные операции SharePoint и не включает активные C2-механизмы.
-
Уязвимость не затрагивает облачный SharePoint Online (Microsoft 365).
-
При взломе SharePoint возможно заражение всей корпоративной сети, включая Outlook, Teams и OneDrive.
Индикаторы компрометации (IoC)
-
Наличие файла spinstall0.aspx в каталогах шаблонов SharePoint.
-
Запуски PowerShell из-под w3wp.exe с Base64-кодированными аргументами.
-
Запросы POST на /ToolPane.aspx с Referer: /_layouts/SignOut.aspx.
-
Неожиданное поведение системы без следов логина пользователя.
Ответ Microsoft и рекомендации
-
Патчи уже выпущены для:
-
SharePoint Subscription Edition
-
SharePoint Server 2019
-
-
Для SharePoint 2016 патч пока отсутствует — рекомендовано срочно применять меры по снижению риска.
-
Microsoft рекомендует:
-
Установить последние обновления безопасности.
-
Включить и настроить Antimalware Scan Interface (AMSI).
-
Использовать Defender for Endpoint или аналогичный EDR.
-
Провести ротацию ключей и отключить уязвимые серверы от интернета, если невозможно немедленно установить патч.
-
Реакция регуляторов и экспертов
-
В расследовании участвуют FBI, CISA, а также спецслужбы Канады и Австралии.
-
Исследователи настоятельно рекомендуют предположить факт взлома для любого незащищённого сервера и начать инцидент-менеджмент: анализ логов, поиск скрытых угроз, смену ключей.
Эксперты предупреждают: атака всё ещё продолжается, и владельцам локальных SharePoint-серверов необходимо немедленно принять меры, включая установку патчей, изоляцию инфраструктуры и глубокий анализ на предмет вторжений.
Источники: Microsoft Security Response • CNN • Washington Post • The Hacker News • Forbes • CISA
Источник: habr.com
