SharePoint è un'applicazione aziendale di grande valore e uno sfruttamento riuscito può fornire agli attaccanti l'accesso a dati sensibili e l'esecuzione all'interno di IIS. La fonte definisce diverse ricerche complementari per SharePoint ToolShell e le successive catene RCE.

La copertura include CVE-2025-53770, CVE-2025-49704, CVE-2025-49706 e successive vulnerabilità di SharePoint di RCE, aggiramento dell'autenticazione e deserializzazione.

Indicatori HTTP e di nomi di file

La prima ricerca cerca nei log ToolPane e i noti nomi di file spinstall:

full_log:("/_layouts/15/ToolPane.aspx" or "spinstall0.aspx" or "spinstall1.aspx" or "spinstall2.aspx" or "spinstall.aspx")

La fonte ha registrato 303 risultati nei 30 giorni precedenti.

Queste stringhe da sole non provano uno sfruttamento, ma forniscono utili indicatori specifici di campagna e di prodotto per il triage.

Monitoraggio dell'integrità dei file e di Sysmon

La seconda ricerca verifica la presenza di file spinstall*.aspx sospetti creati nei layout di SharePoint o nella root web di IIS:

(rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx)) or (data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx))

La fonte ha registrato zero corrispondenze per questa query.

MachineKey ed esecuzione post-RCE

Un terzo rilevamento monitora i processi di lavoro di IIS per l'esecuzione di shell e i comandi su materiale MachineKey o individuazione del sistema:

data.win.system.eventID: 1 and data.win.eventdata.parentImage: *\w3wp.exe and (data.win.eventdata.commandLine: (*machineKey* or *ValidationKey* or *DecryptionKey* or *whoami* or *ipconfig* or *nltest* or *net*user* or *net*group*) or data.win.eventdata.image: (*\cmd.exe or *\powershell.exe or *\pwsh.exe))

La fonte ha registrato zero corrispondenze anche per questa ricerca sui processi.

Interpretazione delle 303 corrispondenze HTTP

La query degli indicatori HTTP ha prodotto molti più risultati rispetto alle ricerche su file o processi. Ciò significa che gli analisti non dovrebbero presumere che ogni corrispondenza rappresenti un attacco riuscito.

Un arricchimento utile comprende:

• hostname del server SharePoint;

• IP di origine;

• metodo HTTP;

• stato della risposta;

• percorso richiesto;

• utente autenticato;

• successive modifiche ai file;

• processi figlio di w3wp.exe.

Se un indicatore HTTP è seguito da un file ASPX sospetto e poi dall'esecuzione di una shell, il livello di confidenza aumenta sensibilmente.

Priorità di indagine

Un'indagine su SharePoint dovrebbe correlare i log web con la telemetria degli endpoint.

Cerchi:

• file spinstall sospetti;

• modifiche inattese in _layouts;

• processi di lavoro di IIS che avviano shell;

• comandi che coinvolgono valori MachineKey;

• comandi di individuazione come whoami, ipconfig o nltest;

• attività di rete in uscita.

Ottimizzazione

Richieste amministrative note o riferimenti benigni a ToolPane possono spiegare alcuni eventi. Le eccezioni dovrebbero basarsi su attività legittima verificata anziché su ampie esclusioni di percorsi.

Valore operativo

Le tre ricerche offrono prospettive diverse sullo stesso prodotto: indicatori HTTP, modifiche ai file e attività dei processi post-RCE.

Usate insieme, consentono ai difensori di passare da un ampio indicatore SharePoint a prove di esecuzione e persistenza con maggiore confidenza.