Свежая волна кибератак, связанных с уязвимостью CVE-2025-53770, продолжает распространяться, затрагивая корпоративные серверы Microsoft SharePoint по всему миру. Эксперты по кибербезопасности подтверждают, что злоумышленники используют сложную цепочку эксплуатации, включающую подмену легитимных процессов браузера Microsoft Edge и маскировку под обновления Google Chrome, чтобы оставаться незамеченными.
Описание
География атак и статистика
Анализ данных, собранных с помощью платформ Shodan и других сканеров, показал, что наибольшее количество уязвимых серверов SharePoint сосредоточено в Иране, США, Германии, Ирландии и России. При этом некоторые страны, такие как Греция, оказались в топе по числу заражённых систем из-за использования конкретных версий SharePoint (16.0.0.17928), выпущенных в июне 2025 года. Интересно, что в некоторых случаях атакующие специально выбирали серверы с определёнными параметрами, чтобы повысить эффективность атак - например, ориентировались на системы в Иране, где определённые конфигурации распространены чаще.
Технические детали эксплойта ToolShell
Уязвимость CVE-2025-53770 связана с десериализацией данных в SharePoint, позволяющей злоумышленникам выполнять произвольный код. По данным исследования, первые признаки эксплуатации появились ещё 25 июня 2025 года - задолго до официального обнаружения угрозы компанией Eye Security 18 июля.
Один из ключевых файлов, используемых в атаке, - cve.ps1 (MD5: 8cfb22aa48af3815b127c24ad9662d76). Также злоумышленники активно применяли файлы с расширением .log (например, powershell.exe.log), чтобы обойти детектирование в песочницах, которые часто игнорируют такие форматы.
Уловка с Google CUP: маскировка под легитимные обновления
Во время анализа веб-эксплойта spinstall0.aspx обнаружился запрос к URL, имитирующему работу Google Client Update Protocol (CUP) - механизма проверки обновлений Chrome.
Запрос выглядел так:
| 1 | http://clients2.google.com/time/1/current?cup2key=8:qOPHuaj4LhASKGNjg7vDZTc_OZXu7qqtpjbUfr3G2ko&cup2hreq=e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 |
При детальном изучении выяснилось, что ответ сервера содержал аномальные значения, например, server_nonce в виде крайне малых или, наоборот, чрезмерно больших чисел в экспоненциальной записи. Это явный признак поддельного трафика, так как настоящий CUP использует 256-битные случайные значения.
Злоупотребление процессами Microsoft Edge
Другая тактика атакующих включала запуск утилитных процессов Edge с отключёнными механизмами безопасности:
- Сетевой сервис (network.mojom.NetworkService) запускался с параметром --service-sandbox-type=none, позволяющим обходить ограничения.
- Crashpad-обработчик использовался для подмены метаданных сборки и версии браузера.
- GPU-процесс активировался с закодированными настройками, что типично для атак, связанных с обходом песочницы.
Рекомендации по защите
Для обнаружения подобных атак эксперты предлагают использовать YARA-правила, например, для выявления подозрительных запросов к Google CUP или злоупотребления процессами Edge. Также рекомендуется проверить журналы на предмет необычных вызовов PowerShell и наличие файлов .ps1, .log с подозрительными хешами.
Вывод
Атака через CVE-2025-53770 демонстрирует, как злоумышленники комбинируют технические уязвимости и методы социальной инженерии, маскируясь под легитимные процессы. Компаниям, использующим SharePoint, следует немедленно применить временные меры, предложенные Microsoft, и обновить системы, как только патч станет доступен. Мониторинг сетевой активности на предмет аномальных запросов к Google-сервисам и нестандартного использования браузерных компонентов поможет снизить риски заражения.
Индикаторы компрометации
YARA
