Агентство кибербезопасности и инфраструктуры США (CISA) опубликовало сегодня новый Отчет об анализе вредоносного ПО (Malware Analysis Report, MAR), посвященный активным кибератакам, эксплуатирующим критические уязвимости в Microsoft SharePoint. Отчет содержит анализ вредоносных файлов, связанных с этими атаками, а также индикаторы компрометации (IOC) и сигнатуры для их обнаружения, столь необходимые специалистам по безопасности для защиты корпоративных сред.
Описание
Фокус отчета сосредоточен на четырех конкретных уязвимостях SharePoint:
- CVE-2025-49704 (CWE-94: Инъекция кода) и CVE-2025-49706 (CWE-287: Некорректная аутентификация). Эта пара уязвимостей образует цепочку эксплуатации, публично известную как «ToolShell», которую злоумышленники активно используют для получения несанкционированного доступа к локальным (on-premises) серверам SharePoint. Именно эти две уязвимости CISA добавила в свой Каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities Catalog) 22 июля 2025 года.
- CVE-2025-53770 (CWE-502: Десериализация ненадежных данных). Эта уязвимость была внесена в каталог CISA двумя днями ранее, 20 июля 2025 года, что указывает на ее активное использование в дикой природе.
- CVE-2025-53771 (CWE-287: Некорректная аутентификация). Хотя на момент публикации отчета дата добавления этой уязвимости в каталог CISA не была указана, ее наличие в MAR подчеркивает серьезность проблем с аутентификацией в SharePoint.
Публикация MAR с конкретными IOC и сигнатурами обнаружения - это прямой призыв CISA к действию для организаций, использующих уязвимые версии SharePoint, особенно в локальных развертываниях. Агентство настоятельно рекомендует администраторам безопасности и ИТ-специалистам немедленно применить предоставленные индикаторы в своих системах мониторинга безопасности (SIEM), системах предотвращения вторжений (IPS) и антивирусных решениях. Это позволит выявить потенциальные компрометации, уже произошедшие в их инфраструктуре, и предотвратить будущие атаки, использующие тот же вредоносный инструментарий.
Индикаторы компрометации
SIGMA
