📂 Betroffene Produkte

📡 Ausnutzungsindikatoren

• Hochladen von spinstall0.aspx oder ähnlichen Shell-Dateien.

• Anfragen an:

  • /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • Mit Referrer: _layouts/SignOut.aspx

• w3wp.exe startet cmd.exe, powershell.exe oder rundll32.

🧪 Erkennungstipps

Web-Protokolle:

• Suchen Sie nach ungewöhnlichen POST-Anfragen an SharePoint-Layoutseiten.
• Durchsuchen Sie Zugriffsprotokolle mit /layouts/ nach ungewöhnlichen User-Agents.

Dateisystem:

• Scannen Sie nach nicht erkannten .aspx-Dateien in:

  • %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

Prozesse:

• Überwachen Sie auf anomale untergeordnete Prozesse unter w3wp.exe.

Netzwerk:

• Erkennen Sie ausgehende Verbindungen zu bekannten Angreifer-IPs:

  • 107.191.58.76, 96.9.125.147, 104.238.159.149

🔐 Gegenmaßnahmen

Vor dem Patch:

1. AMSI aktivieren:

   • Verwenden Sie Microsoft Defender Antivirus mit AMSI-Unterstützung.
   • AMSI kann bösartige ViewState-Nutzlasten vor der Ausführung erkennen.

2. Netzwerkkontrollen anwenden:

   • Beschränken Sie den Zugriff auf SharePoint-Server ausschließlich auf interne Netzwerke.

3. EDR/XDR bereitstellen:

   • Verwenden Sie Defender for Endpoint oder Ähnliches zur Verhaltenserkennung.

Nach dem Patch:

1. Updates vom Juli 2025 installieren:

   • Microsoft hat Hotfixes für SharePoint 2016, 2019 und Subscription Edition veröffentlicht.

2. machineKey rotieren:

   • Ändern Sie die ASP.NET ValidationKey und DecryptionKey in der web.config.
   • Erzwingen Sie einen Neustart von IIS (iisreset), um die Änderungen zu übernehmen.

3. Prüfung & Bereinigung:

   • Entfernen Sie schadhafte .aspx-Dateien.
   • Überprüfen Sie auf geplante Aufgaben oder Persistenzmechanismen.

🛡️ Zusammenfassung

• Eine hochwirksame Zero-Day-Sicherheitslücke in SharePoint ermöglicht eine vollständige Serverkompromittierung durch gefälschte ViewState-Nutzlasten.
• Aktive Ausnutzung bestätigt.
• Patchen Sie sofort, rotieren Sie Verschlüsselungsschlüssel und scannen Sie auf Kompromittierungsindikatoren.