SharePoint es una aplicación empresarial de gran valor, y una explotación exitosa puede dar a los atacantes acceso a datos sensibles y ejecución dentro de IIS. La fuente define varias búsquedas complementarias para SharePoint ToolShell y cadenas RCE posteriores.

La cobertura incluye CVE-2025-53770, CVE-2025-49704, CVE-2025-49706 y vulnerabilidades posteriores de SharePoint de RCE, omisión de autenticación y deserialización.

Indicadores HTTP y de nombres de archivo

La primera búsqueda examina los registros en busca de ToolPane y de nombres de archivo conocidos de spinstall:

full_log:("/_layouts/15/ToolPane.aspx" or "spinstall0.aspx" or "spinstall1.aspx" or "spinstall2.aspx" or "spinstall.aspx")

La fuente registró 303 resultados durante los 30 días anteriores.

Estas cadenas por sí solas no demuestran una explotación, pero proporcionan indicadores útiles, específicos de la campaña y del producto, para el triaje.

Monitorización de integridad de archivos y Sysmon

La segunda búsqueda comprueba si hay archivos spinstall*.aspx sospechosos creados en los diseños de SharePoint o en la raíz web de IIS:

(rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx)) or (data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx))

La fuente registró cero coincidencias para esta consulta.

MachineKey y ejecución posterior a RCE

Una tercera detección monitoriza los procesos de trabajo de IIS en busca de ejecución de shells y comandos relacionados con material MachineKey o descubrimiento del sistema:

data.win.system.eventID: 1 and data.win.eventdata.parentImage: *\w3wp.exe and (data.win.eventdata.commandLine: (*machineKey* or *ValidationKey* or *DecryptionKey* or *whoami* or *ipconfig* or *nltest* or *net*user* or *net*group*) or data.win.eventdata.image: (*\cmd.exe or *\powershell.exe or *\pwsh.exe))

La fuente también registró cero coincidencias en esta búsqueda de procesos.

Interpretación de las 303 coincidencias HTTP

La consulta de indicadores HTTP produjo bastantes más resultados que las búsquedas de archivos o procesos. Eso significa que los analistas no deben asumir que cada coincidencia representa un ataque exitoso.

Un enriquecimiento útil incluye:

• nombre de host del servidor SharePoint;

• IP de origen;

• método HTTP;

• estado de la respuesta;

• ruta solicitada;

• usuario autenticado;

• cambios de archivos posteriores;

• procesos secundarios de w3wp.exe.

Si a un indicador HTTP le sigue un archivo ASPX sospechoso y luego la ejecución de un shell, la confianza aumenta considerablemente.

Prioridades de investigación

Una investigación de SharePoint debe correlacionar los registros web con la telemetría de endpoints.

Busque:

• archivos spinstall sospechosos;

• cambios inesperados en _layouts;

• procesos de trabajo de IIS que lanzan shells;

• comandos que involucran valores MachineKey;

• comandos de descubrimiento como whoami, ipconfig o nltest;

• actividad de red saliente.

Ajuste

Las solicitudes administrativas conocidas o las referencias benignas a ToolPane pueden explicar algunos eventos. Las excepciones deben basarse en actividad legítima verificada en lugar de en exclusiones amplias de rutas.

Valor operativo

Las tres búsquedas ofrecen perspectivas distintas del mismo producto: indicadores HTTP, cambios de archivos y actividad de procesos posterior a RCE.

Utilizadas en conjunto, permiten a los defensores pasar de un indicador amplio de SharePoint a evidencias de ejecución y persistencia de mayor confianza.