📂 Productos afectados

📡 Indicadores de explotación

• Subida de spinstall0.aspx o archivos shell similares.

• Solicitudes a:

  • /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • Con referrer: _layouts/SignOut.aspx

• w3wp.exe lanzando cmd.exe, powershell.exe o rundll32.

🧪 Consejos de detección

Registros web:

• Busque solicitudes POST inusuales a páginas de diseño de SharePoint.
• Busque en los registros de acceso solicitudes a /layouts/ con agentes de usuario poco comunes.

Sistema de archivos:

• Escanee en busca de archivos .aspx no reconocidos en:

  • %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

Procesos:

• Supervise procesos hijos anómalos bajo w3wp.exe.

Red:

• Detecte conexiones salientes a IPs de atacantes conocidas:

  • 107.191.58.76, 96.9.125.147, 104.238.159.149

🔐 Mitigación

Antes del parche:

1. Habilitar AMSI:

   • Use Microsoft Defender Antivirus con soporte para AMSI.
   • AMSI puede detectar payloads maliciosos de ViewState antes de su ejecución.

2. Aplicar controles de red:

   • Restrinja el acceso al servidor SharePoint únicamente a redes internas.

3. Implementar EDR/XDR:

   • Use Defender for Endpoint o similar para la detección de comportamiento.

Después del parche:

1. Instalar las actualizaciones de julio de 2025:

   • Microsoft publicó parches para SharePoint 2016, 2019 y Subscription Edition.

2. Rotar machineKey:

   • Cambie ValidationKey y DecryptionKey de ASP.NET en web.config.
   • Fuerce un reinicio de IIS (iisreset) para aplicar los cambios.

3. Auditoría y limpieza:

   • Elimine archivos .aspx no autorizados.
   • Verifique si hay tareas programadas o mecanismos de persistencia.

🛡️ Resumen

• Un zero-day de alto impacto en SharePoint permite el compromiso total del servidor mediante payloads de ViewState falsificados.
• Explotación activa confirmada.
• Aplique el parche de inmediato, rote las claves de cifrado y busque indicadores de compromiso.