SharePoint is een waardevolle bedrijfsapplicatie en succesvolle exploitatie kan aanvallers toegang geven tot gevoelige gegevens en uitvoering binnen IIS. De bron definieert meerdere complementaire zoekacties voor SharePoint ToolShell en latere RCE-ketens.

De dekking omvat CVE-2025-53770, CVE-2025-49704, CVE-2025-49706 en latere SharePoint-kwetsbaarheden voor RCE, authenticatieomzeiling en deserialisatie.

HTTP- en bestandsnaamindicatoren

De eerste zoekactie doorzoekt logs op ToolPane en bekende spinstall-bestandsnamen:

full_log:("/_layouts/15/ToolPane.aspx" or "spinstall0.aspx" or "spinstall1.aspx" or "spinstall2.aspx" or "spinstall.aspx")

De bron registreerde 303 resultaten in de afgelopen 30 dagen.

Deze tekenreeksen alleen bewijzen geen exploitatie, maar bieden nuttige campagne- en productspecifieke indicatoren voor eerste beoordeling.

Bestandsintegriteits- en Sysmon-bewaking

De tweede zoekactie controleert op verdachte spinstall*.aspx-bestanden die zijn aangemaakt onder SharePoint-layouts of de IIS-webroot:

(rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx)) or (data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx))

De bron registreerde nul overeenkomsten voor deze zoekopdracht.

MachineKey en uitvoering na RCE

Een derde detectie monitort IIS-werkprocessen op shelluitvoering en opdrachten die verband houden met MachineKey-materiaal of systeemdiscovery:

data.win.system.eventID: 1 and data.win.eventdata.parentImage: *\w3wp.exe and (data.win.eventdata.commandLine: (*machineKey* or *ValidationKey* or *DecryptionKey* or *whoami* or *ipconfig* or *nltest* or *net*user* or *net*group*) or data.win.eventdata.image: (*\cmd.exe or *\powershell.exe or *\pwsh.exe))

De bron registreerde ook voor deze proceshunt nul overeenkomsten.

Interpretatie van de 303 HTTP-treffers

De HTTP-indicatorzoekopdracht leverde aanzienlijk meer resultaten op dan de bestands- of proceszoekacties. Dat betekent dat analisten er niet van moeten uitgaan dat elke treffer een geslaagde aanval vertegenwoordigt.

Nuttige verrijking omvat:

• hostnaam van de SharePoint-server;

• bron-IP;

• HTTP-methode;

• responsstatus;

• opgevraagd pad;

• geauthenticeerde gebruiker;

• daaropvolgende bestandswijzigingen;

• onderliggende processen van w3wp.exe.

Als op een HTTP-indicator een verdacht ASPX-bestand en vervolgens shelluitvoering volgt, neemt het vertrouwen aanzienlijk toe.

Onderzoeksprioriteiten

Een SharePoint-onderzoek moet weblogs correleren met endpointtelemetrie.

Zoek naar:

• verdachte spinstall-bestanden;

• onverwachte wijzigingen onder _layouts;

• IIS-werkprocessen die shells starten;

• opdrachten met MachineKey-waarden;

• verkenningsopdrachten zoals whoami, ipconfig of nltest;

• uitgaande netwerkactiviteit.

Afstemming

Bekende beheerverzoeken of onschuldige verwijzingen naar ToolPane kunnen sommige gebeurtenissen verklaren. Uitzonderingen moeten gebaseerd zijn op geverifieerde legitieme activiteit in plaats van op brede padexclusies.

Operationele waarde

De drie zoekacties bieden verschillende perspectieven op hetzelfde product: HTTP-indicatoren, bestandswijzigingen en procesactiviteit na RCE.

Samen gebruikt stellen ze verdedigers in staat om van een brede SharePoint-indicator over te gaan naar bewijs van uitvoering en persistentie met een hogere betrouwbaarheid.