📌 Fonctionnalités clés

• 🔍 Analyse récursive des journaux W3C IIS à partir d'un répertoire racine donné.
• 🧠 Détecte :
  • L'abus de ToolPane (exploitation de ToolPane.aspx)
  • Les accès suspects à des fichiers (par ex. spinstall.aspx, ghostfile.aspx, etc.)
  • Les requêtes provenant d'adresses IP malveillantes connues (via une liste externe)
• ⚙️ Entièrement parallélisé grâce à ForEach-Object -Parallel pour la rapidité.
• 🧾 Génère un fichier CSV pour les rapports DFIR ou l'ingestion dans un SIEM.

💻 Prérequis

• PowerShell 7.0 ou plus récent
• Accès administrateur/lecture aux fichiers journaux IIS
• Accès Internet pour récupérer la liste distante des IP bloquées (optionnel)

🚀 Utilisation

1. Modifiez le début du script :

   root@kitploit:~

    $logRoot       = "C:\inetpub\logs\LogFiles"  # Votre dossier de logs
    $ThrottleLimit = 12                          # Nombre de threads parallèles
   

2. Exécutez le script :

   root@kitploit:~

   .\toolshellfinderPS7.ps1
   

3. Les résultats seront sauvegardés dans :

   root@kitploit:~

   IIS_IoC_Matches.csv
   

   ---

📌 Logique de détection

✅ Jeu d'IoC 1 — CVE-2025-53771 (abus de ToolPane)

• POST ou GET vers :
  root@kitploit:~

  /_layouts/15/ToolPane.aspx
   /_layouts/16/ToolPane.aspx
  

• Avec la requête :
  root@kitploit:~

  DisplayMode=Edit&a=/ToolPane.aspx
  

• Et le referer :
  root@kitploit:~

  /_layouts/SignOut.aspx ou "-"
  

✅ Jeu d'IoC 2 — CVE-2025-53770 (noms de fichiers suspects)

• Accès à des fichiers correspondant :
  root@kitploit:~

  spinstall.aspx, spinstall*.aspx, ghostfile.aspx, debug_dev.js,
  info.js, machinekey.aspx, ghost.aspx, etc.
  

• Situés sous :
  root@kitploit:~

  /_layouts/15/
  /_layouts/16/
  

• Avec le referer :
  root@kitploit:~

  /SignOut.aspx ou -
  

✅ Jeu d'IoC 3 — Adresses IP malveillantes

• Le script télécharge dynamiquement une liste de renseignements sur les menaces depuis :
  root@kitploit:~

  https://raw.githubusercontent.com/zach115th/BlockLists/main/emerging-threats/2025/toolshell/toolshell_ips.txt
  

📎 Références

• CVE-2025-53770
• CVE-2025-53771
• Eye Security – Analyse de ToolShell
• Guide Microsoft

✅ Résumé

ToolShellFinder est un script PowerShell rapide, flexible et éprouvé pour détecter l'exploitation réelle des zero-days SharePoint via l'analyse des journaux. Utilisez-le dans votre boîte à outils DFIR pour attraper ce que votre EDR aurait pu manquer.