23 июля 2025 года, компания Microsoft опубликовала развернутый анализ кибератак, связанных с эксплуатацией уязвимостей в локальных серверах SharePoint. Согласно новым данным, китайские хакерские группировки, включая Storm-2603, используют эти уязвимости для заражения систем вымогательским ПО Warlock. В связи с этим Microsoft обновила рекомендации по защите, включая усиленные меры по обнаружению и устранению угроз.
Описание
19 июля 2025 года Microsoft Security Response Center (MSRC) сообщил о текущих атаках на локальные серверы SharePoint, эксплуатирующих уязвимости CVE-2025-49706 (подмена данных) и CVE-2025-49704 (удаленное выполнение кода). Эти уязвимости затрагивают только локальные версии SharePoint и не распространяются на облачный SharePoint Online в Microsoft 365. Компания выпустила обновления безопасности для всех поддерживаемых версий SharePoint Server (Subscription Edition, 2019 и 2016), которые устраняют риски, связанные с этими уязвимостями. Microsoft настоятельно рекомендует клиентам немедленно установить обновления.
Обновления также затрагивают связанные уязвимости CVE-2025-53770 (аналогичную CVE-2025-49704) и CVE-2025-53771 (обход защиты, связанный с CVE-2025-49706). В настоящее время Microsoft зафиксировала активность двух китайских группировок, связанных с государственными структурами: Linen Typhoon и Violet Typhoon, а также третьей - Storm-2603, которая использует уязвимости для распространения вымогателей. Исследование других злоумышленников, возможно, вовлеченных в атаки, продолжается.
Microsoft отмечает, что из-за быстрого распространения эксплойтов уязвимости скоро станут частью стандартного арсенала киберпреступников, атакуя незащищенные SharePoint-системы. В блоге MSRC подробно описаны методы эксплуатации CVE-2025-49706 и CVE-2025-49704, включая тактики, техники и процедуры (TTP) злоумышленников. Информация будет дополняться по мере поступления новых данных.
Корпорация рекомендует клиентам использовать поддерживаемые версии локальных серверов SharePoint с актуальными обновлениями. Для предотвращения неавторизованных атак необходимо интегрировать и активировать Antimalware Scan Interface (AMSI) и Microsoft Defender Antivirus (или аналогичные решения) для всех локальных развертываний SharePoint. Также важно настроить AMSI в режиме Full Mode, сменить ASP.NET Machine Keys, перезапустить Internet Information Services (IIS) и развернуть Microsoft Defender for Endpoint.
Наблюдаемые тактики и техники
Microsoft зафиксировала, что злоумышленники проводят разведку и пытаются эксплуатировать уязвимости через POST-запросы к конечной точке ToolPane. После успешного обхода аутентификации и выполнения удаленного кода хакеры загружают веб-шелл, например, под именем spinstall0.aspx (или его вариациями: spinstall.aspx, spinstall1.aspx и т.д.). Этот скрипт извлекает данные MachineKey и отправляет их злоумышленнику, что позволяет украсть ключи шифрования.
Цепочка атаки Storm-2603
Атака начинается с эксплуатации уязвимостей SharePoint, затем злоумышленники выполняют команды через процесс w3wp.exe, отключают защиту Microsoft Defender через реестр, создают задания в планировщике и манипулируют IIS для загрузки вредоносных .NET-сборок. Для кражи учетных данных используется Mimikatz, а для перемещения по сети - PsExec и Impacket. В финале Storm-2603 изменяет групповые политики (GPO) для распространения Warlock.
Storm-2603 - новая группировка, предположительно базирующаяся в Китае, использует уязвимости SharePoint для кражи MachineKeys. Хотя ранее Storm-2603 распространяли вымогателей Warlock и Lockbit, их текущие цели пока не ясны.
Microsoft прогнозирует, что число атак будет расти, и призывает организации срочно принять защитные меры.
Индикаторы компрометации
