cameloo1/sharepoint-toolshell-micro-postmortem
Reproduzierbarer Incident-Mikro-Postmortem für On-Prem Microsoft SharePoint „ToolShell" (CVE-2025-53770): ATT&CK-Snapshot, Tabelle „logs that matter", drei Hunts (KQL/SPL/Sigma), Kommunikation der ersten 4 Stunden, Beispieldaten und Abbildungen. Entwickelt für schnelles Triage; keine Organisationsdaten; SharePoint Online außerhalb des Umfangs.
Dieses Kit analysiert die Mitte 2025 aktive „ToolShell“-Zero-Day-Kampagne gegen On-Premises Microsoft SharePoint Server; SharePoint Online ist nicht im Umfang enthalten. Es liefert durchgängig reproduzierbare Jagden, Kommunikation und Abbildungen, ohne auf externe Daten angewiesen zu sein.
Warum dieses Repository existiert: Beschleunigung der Analysten-Triage mit reproduzierbaren Erkennungen und abgestimmter Management-Kommunikation.
Betonte Techniken: T1190 (Exploit Public-Facing Application), T1059.001 (PowerShell), T1505.003 (Web Shell), T1078 (Valid Accounts), T1027 (Obfuscated/Complicated Files), T1003 (OS Credential Dumping), T1082 (System Information Discovery), T1021 (Remote Services), T1071 (Application Layer Protocol), T1567 (Exfiltration Over Web Services).
| Phase | Signal | Protokollquelle | Wichtige Felder | Beispielmuster |
|---|---|---|---|---|
| Webebene/IIS | Lange __VIEWSTATE-Blobs, ungewöhnliche POSTs an /_layouts/*, seltene User-Agents, 500/404-Ausbrüche | IIS/W3C-Protokolle, SharePoint ULS | cs-uri-stem, cs-useragent, sc-status, Payload-Länge | Spitzen von großen POST-Daten, gefolgt von 500-Fehlern |
| Prozessausführung | w3wp.exe -> cmd.exe -> powershell.exe mit -enc oder -EncodedCommand | Windows Security 4688 | ParentProcessName, NewProcessName, CommandLine, Account | C:\Windows\System32\inetsrv\w3wp.exe startet PowerShell mit codiertem Payload |
| Dateierstellung/Webshell | Unerwartete .aspx-Ablagen unter \inetpub\wwwroot\wss\... oder \_layouts\... | Sysmon 11 / Dateiintegritätsfeeds | TargetFilename, Image, Hashes | Neue .aspx in \inetpub\wwwroot\wss\VirtualDirectories\80\App_Data\ |
| Identität/Token | Abnormale Sitzungsausstellung, Administratoraktionen auf Dienstkonten zurückgeführt | SharePoint ULS, AD FS-Protokolle | User, ClientIP, CorrelationId, Token-Ansprüche | Dienstkonto gibt mehrere hochprivilegierte Token aus |
| DNS/Proxy | Neu gesehene Domänen mit geringer Prävalenz nach IIS-Anomalien | DNS-, Proxy-, Firewall-Protokolle | query, src_ip, count, Prävalenzwerte | Erstmals gesehene Domain löst kurz nach PowerShell-Ausführung auf |
hunts/w3wp_powershell_encodedcommand.kql · SPL · Sigma: Erkennen codierte PowerShell, die vom IIS-Worker gestartet wurde.hunts/sharepoint_webshell_filecreate.kql · SPL · Sigma: Identifizieren unerwarteter .aspx-Dateien in SharePoint-Webroots.hunts/dns_newly_seen_post_iis_anomaly.kql · SPL · Sigma: Aufdecken von DNS-Domänen mit geringer Prävalenz nach IIS-Anomalien und verdächtigen IIS-Kindprozessen.samples/example_events.json auf repräsentative Windows Security 4688, Sysmon 11 und DNS-Einträge, die auf jede Jagd abgestimmt sind (harmloses Rauschen enthalten).Account des Anwendungspool-Dienstkontos, CommandLine mit -enc, mit 3 bösartigen Treffern und 1 harmloser Admin-Skript-Notiz..aspx-Pfade unter \inetpub\wwwroot\wss\VirtualDirectories\80\Layouts\ während der Angriffsstunde und einen harmlosen Bereitstellungseintrag.cdn-msupdate.example, toolshare-sync.example verknüpft mit der IIS-Host-IP mit <5 Gesamtabfragen in 24h plus eine harmlose unternehmenseigene CDN-Domain, die durch Schwellenwerte ignoriert wird.comms/first_4h.md für versandfertige Vorlagen und Platzhalter.figures/decision-tree.png spiegelt die ASCII-Logik im Kommunikationspaket wider.Herstellerforschung: