SharePoint est une application d'entreprise de grande valeur, et une exploitation réussie peut donner aux attaquants un accès à des données sensibles et une exécution au sein d'IIS. La source définit plusieurs recherches complémentaires pour SharePoint ToolShell et les chaînes RCE ultérieures.

La couverture inclut CVE-2025-53770, CVE-2025-49704, CVE-2025-49706 ainsi que des vulnérabilités ultérieures de SharePoint liées à la RCE, au contournement d'authentification et à la désérialisation.

Indicateurs HTTP et de noms de fichiers

La première recherche interroge les journaux pour ToolPane et les noms de fichiers spinstall connus :

full_log:("/_layouts/15/ToolPane.aspx" or "spinstall0.aspx" or "spinstall1.aspx" or "spinstall2.aspx" or "spinstall.aspx")

La source a enregistré 303 résultats au cours des 30 derniers jours.

Ces chaînes ne prouvent pas à elles seules une exploitation, mais elles fournissent des indicateurs utiles, propres à la campagne et au produit, pour le tri.

Surveillance de l'intégrité des fichiers et de Sysmon

La seconde recherche vérifie la présence de fichiers spinstall*.aspx suspects créés sous les répertoires de mise en page SharePoint ou la racine web IIS :

(rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx)) or (data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx))

La source a enregistré zéro correspondance pour cette requête.

MachineKey et exécution post-RCE

Une troisième détection surveille les processus de travail IIS pour détecter l'exécution de shells et les commandes liées au matériel MachineKey ou à la découverte du système :

data.win.system.eventID: 1 and data.win.eventdata.parentImage: *\w3wp.exe and (data.win.eventdata.commandLine: (*machineKey* or *ValidationKey* or *DecryptionKey* or *whoami* or *ipconfig* or *nltest* or *net*user* or *net*group*) or data.win.eventdata.image: (*\cmd.exe or *\powershell.exe or *\pwsh.exe))

La source a également enregistré zéro correspondance pour cette recherche de processus.

Interprétation des 303 correspondances HTTP

La requête d'indicateurs HTTP a produit nettement plus de résultats que les recherches sur les fichiers ou les processus. Les analystes ne doivent donc pas supposer que chaque correspondance représente une attaque réussie.

Un enrichissement utile comprend :

• nom d'hôte du serveur SharePoint ;

• IP source ;

• méthode HTTP ;

• statut de la réponse ;

• chemin demandé ;

• utilisateur authentifié ;

• modifications de fichiers consécutives ;

• processus enfants de w3wp.exe.

Si un indicateur HTTP est suivi d'un fichier ASPX suspect puis d'une exécution de shell, le niveau de confiance augmente considérablement.

Priorités d'investigation

Une investigation SharePoint doit corréler les journaux web avec la télémétrie des endpoints.

Recherchez :

• fichiers spinstall suspects ;

• modifications inattendues sous _layouts ;

• processus de travail IIS lançant des shells ;

• commandes impliquant des valeurs MachineKey ;

• commandes de découverte telles que whoami, ipconfig ou nltest ;

• activité réseau sortante.

Réglage

Des requêtes administratives connues ou des références bénignes à ToolPane peuvent expliquer certains événements. Les exceptions doivent reposer sur une activité légitime vérifiée plutôt que sur de larges exclusions de chemins.

Valeur opérationnelle

Les trois recherches offrent des perspectives différentes sur le même produit : indicateurs HTTP, modifications de fichiers et activité de processus post-RCE.

Utilisées ensemble, elles permettent aux défenseurs de passer d'un indicateur SharePoint large à des preuves d'exécution et de persistance de plus haute confiance.