SharePoint este o aplicație de întreprindere cu valoare ridicată, iar exploatarea reușită poate oferi atacatorilor acces la date sensibile și execuție în cadrul IIS. Sursa definește mai multe vânători complementare pentru SharePoint ToolShell și lanțurile ulterioare de RCE.

Acoperirea include CVE-2025-53770, CVE-2025-49704, CVE-2025-49706 și vulnerabilități ulterioare de RCE, de ocolire a autentificării și de deserializare din SharePoint.

Indicatori HTTP și de nume de fișier

Prima vânătoare caută în jurnale ToolPane și numele de fișiere spinstall cunoscute:

full_log:("/_layouts/15/ToolPane.aspx" or "spinstall0.aspx" or "spinstall1.aspx" or "spinstall2.aspx" or "spinstall.aspx")

Sursa a înregistrat 303 rezultate în ultimele 30 de zile.

Aceste șiruri singure nu dovedesc exploatarea, dar oferă indicatori utili, specifici campaniei și produsului, pentru triaj.

Monitorizarea integrității fișierelor și Sysmon

A doua vânătoare verifică fișierele spinstall*.aspx suspecte create sub layout-urile SharePoint sau sub rădăcina web IIS:

(rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx)) or (data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*\_layouts\*spinstall*.aspx or *\inetpub\wwwroot\*spinstall*.aspx))

Sursa a înregistrat zero potriviri pentru această interogare.

MachineKey și execuția post-RCE

O a treia detecție monitorizează procesele IIS worker pentru execuția de shell-uri și comenzi legate de materialul MachineKey sau de descoperirea sistemului:

data.win.system.eventID: 1 and data.win.eventdata.parentImage: *\w3wp.exe and (data.win.eventdata.commandLine: (*machineKey* or *ValidationKey* or *DecryptionKey* or *whoami* or *ipconfig* or *nltest* or *net*user* or *net*group*) or data.win.eventdata.image: (*\cmd.exe or *\powershell.exe or *\pwsh.exe))

Sursa a înregistrat, de asemenea, zero potriviri pentru această vânătoare de procese.

Interpretarea celor 303 potriviri HTTP

Interogarea de indicatori HTTP a produs semnificativ mai multe rezultate decât vânătorile de fișiere sau de procese. Aceasta înseamnă că analiștii nu ar trebui să presupună că fiecare potrivire reprezintă un atac reușit.

Îmbogățirea utilă include:

• numele de gazdă al serverului SharePoint;

• adresa IP sursă;

• metoda HTTP;

• statusul răspunsului;

• calea solicitată;

• utilizatorul autentificat;

• modificările ulterioare de fișiere;

• procesele copil ale w3wp.exe.

Dacă un indicator HTTP este urmat de un fișier ASPX suspect și apoi de execuția unui shell, nivelul de încredere crește substanțial.

Priorități de investigare

O investigație SharePoint ar trebui să coreleze jurnalele web cu telemetria de endpoint.

Căutați:

• fișiere spinstall suspecte;

• modificări neașteptate sub _layouts;

• procese IIS worker care lansează shell-uri;

• comenzi care implică valori MachineKey;

• comenzi de descoperire precum whoami, ipconfig sau nltest;

• activitate de rețea de ieșire.

Reglare

Cererile administrative cunoscute sau referințele benigne la ToolPane pot explica unele evenimente. Excepțiile ar trebui să se bazeze pe activitate legitimă verificată, nu pe excluderi ample de căi.

Valoare operațională

Cele trei vânători oferă perspective diferite asupra aceluiași produs: indicatori HTTP, modificări de fișiere și activitate de procese post-RCE.

Utilizate împreună, ele permit apărătorilor să treacă de la un indicator SharePoint amplu la dovezi cu grad de încredere mai ridicat privind execuția și persistența.