📂 المنتجات المتأثرة

📡 مؤشرات الاستغلال

• رفع ملفات spinstall0.aspx أو ملفات شيل مماثلة.
• طلبات إلى:
  • /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • مع referrer: _layouts/SignOut.aspx
• عملية w3wp.exe تستحدث cmd.exe أو powershell.exe أو rundll32.

🧪 نصائح الكشف

سجلات الويب:

• ابحث عن طلبات POST غير معتادة إلى صفحات تخطيط SharePoint.
• ابحث في سجلات الوصول عن مسارات /layouts/ مع وكلاء مستخدم غير مألوفين.

نظام الملفات:

• امسح ضوئيًا عن ملفات .aspx غير معروفة في:
  • %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

العمليات:

• راقب العمليات الفرعية الشاذة تحت w3wp.exe.

الشبكة:

• اكتشف الاتصالات الصادرة إلى عناوين IP معروفة للمهاجمين:
  • 107.191.58.76, 96.9.125.147, 104.238.159.149

🔐 التخفيف

قبل التصحيح:

1. تمكين AMSI:

   • استخدم Microsoft Defender Antivirus مع دعم AMSI.
   • يمكن لـ AMSI اكتشاف حمولات ViewState الضارة قبل التنفيذ.

2. تطبيق ضوابط الشبكة:

   • قصر الوصول إلى خادم SharePoint على الشبكات الداخلية فقط.

3. نشر EDR/XDR:

   • استخدم Defender for Endpoint أو ما شابه للكشف السلوكي.

بعد التصحيح:

1. تثبيت تحديثات يوليو 2025:

   • أصدرت Microsoft تصحيحات عاجلة لـ SharePoint 2016 و2019 وإصدار الاشتراك.

2. تدوير machineKey:

   • تغيير ValidationKey و DecryptionKey في ملف web.config الخاص بـ ASP.NET.
   • فرض إعادة تشغيل IIS (iisreset) لتطبيق التغييرات.

3. التدقيق والتنظيف:

   • إزالة ملفات .aspx المارقة.
   • التحقق من وجود مهام مجدولة أو آليات استمرار.

🛡️ الملخص

• ثغرة يوم صفر عالية التأثير في SharePoint تسمح باختراق كامل للخادم عبر حمولات ViewState مزورة.
• تم تأكيد الاستغلال النشط.
• قم بتصحيح الثغرة فورًا، وتدوير مفاتيح التشفير، وفحص مؤشرات الاختراق.