SharePoint ist eine hochwertige Unternehmensanwendung, und eine erfolgreiche Ausnutzung kann Angreifern Zugriff auf sensible Daten und Ausführung innerhalb von IIS verschaffen. Die Quelle definiert mehrere ergänzende Suchen für SharePoint ToolShell und spätere RCE-Ketten.

Die Abdeckung umfasst CVE-2025-53770, CVE-2025-49704, CVE-2025-49706 sowie spätere SharePoint-Schwachstellen für RCE, Authentifizierungsumgehung und Deserialisierung.

HTTP- und Dateinamenindikatoren

Die erste Threat-Hunting-Abfrage durchsucht Protokolle nach ToolPane und bekannten spinstall-Dateinamen:

full_log:("/_layouts/15/ToolPane.aspx" or "spinstall0.aspx" or "spinstall1.aspx" or "spinstall2.aspx" or "spinstall.aspx")

Die Quelle verzeichnete 303 Ergebnisse in den vorangegangenen 30 Tagen.

Diese Zeichenfolgen allein beweisen keine Ausnutzung, liefern aber nützliche kampagnen- und produktspezifische Indikatoren für die Sichtung.

Dateiintegritäts- und Sysmon-Überwachung

Die zweite Hunting-Abfrage prüft auf verdächtige spinstall*.aspx-Dateien, die unter SharePoint-Layouts oder im IIS-Webroot erstellt wurden:

(rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx)) or (data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx))

Die Quelle verzeichnete null Treffer für diese Abfrage.

MachineKey und Ausführung nach RCE

Eine dritte Erkennung überwacht IIS-Arbeitsprozesse auf Shell-Ausführung und Befehle im Zusammenhang mit MachineKey-Material oder Systemermittlung:

data.win.system.eventID: 1 and data.win.eventdata.parentImage: *\w3wp.exe and (data.win.eventdata.commandLine: (*machineKey* or *ValidationKey* or *DecryptionKey* or *whoami* or *ipconfig* or *nltest* or *net*user* or *net*group*) or data.win.eventdata.image: (*\cmd.exe or *\powershell.exe or *\pwsh.exe))

Die Quelle verzeichnete auch für diese Prozesssuche null Treffer.

Interpretation der 303 HTTP-Treffer

Die HTTP-Indikatorabfrage lieferte deutlich mehr Ergebnisse als die Datei- oder Prozesssuchen. Das bedeutet, dass Analysten nicht davon ausgehen sollten, dass jeder Treffer einen erfolgreichen Angriff darstellt.

Nützliche Anreicherung umfasst:

• Rechnername des SharePoint-Servers;

• Quell-IP;

• HTTP-Methode;

• Antwortstatus;

• angeforderter Pfad;

• authentifizierter Benutzer;

• nachfolgende Dateiänderungen;

• Kindprozesse von w3wp.exe.

Folgt auf einen HTTP-Indikator eine verdächtige ASPX-Datei und anschließend Shell-Ausführung, steigt die Zuverlässigkeit erheblich.

Untersuchungsprioritäten

Eine SharePoint-Untersuchung sollte Weblogs mit Endpunkt-Telemetrie korrelieren.

Achten Sie auf:

• verdächtige spinstall-Dateien;

• unerwartete Änderungen unter _layouts;

• IIS-Arbeitsprozesse, die Shells starten;

• Befehle mit MachineKey-Werten;

• Ermittlungsbefehle wie whoami, ipconfig oder nltest;

• ausgehende Netzwerkaktivität.

Feinabstimmung

Bekannte administrative Anfragen oder harmlose Verweise auf ToolPane können einige Ereignisse erklären. Ausnahmen sollten auf verifizierter legitimer Aktivität beruhen und nicht auf pauschalen Pfadausschlüssen.

Betrieblicher Nutzen

Die drei Suchen bieten unterschiedliche Perspektiven auf dasselbe Produkt: HTTP-Indikatoren, Dateiänderungen und Prozessaktivität nach RCE.

Zusammen eingesetzt ermöglichen sie es Verteidigern, von einem breiten SharePoint-Indikator zu belastbareren Belegen für Ausführung und Persistenz zu gelangen.