📂 Prodotti Interessati

📡 Indicatori di Sfruttamento

• Caricamento di spinstall0.aspx o file shell simili.

• Richieste a:

  • /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • Con referrer: _layouts/SignOut.aspx

• w3wp.exe che avvia cmd.exe, powershell.exe o rundll32.

🧪 Suggerimenti per il Rilevamento

Log Web:

• Cerca richieste POST inusuali verso pagine layout di SharePoint.
• Cerca log di accesso che coinvolgono /layouts/ con user agent inusuali.

File System:

• Scansiona la presenza di file .aspx non riconosciuti in:

  • %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

Processi:

• Monitora processi figli anomali sotto w3wp.exe.

Rete:

• Rileva connessioni in uscita verso IP noti degli attaccanti:

  • 107.191.58.76, 96.9.125.147, 104.238.159.149

🔐 Mitigazione

Prima della Patch:

1. Abilita AMSI:

   • Usa Microsoft Defender Antivirus con supporto AMSI.
   • AMSI può rilevare payload ViewState malevoli prima dell'esecuzione.

2. Applica Controlli di Rete:

   • Limita l'accesso al server SharePoint solo alle reti interne.

3. Implementa EDR/XDR:

   • Usa Defender for Endpoint o simili per il rilevamento comportamentale.

Dopo la Patch:

1. Installa gli Aggiornamenti di Luglio 2025:

   • Microsoft ha rilasciato hotfix per SharePoint 2016, 2019 e Subscription Edition.

2. Ruota il machineKey:

   • Modifica ValidationKey e DecryptionKey ASP.NET nel file web.config.
   • Forza il riavvio di IIS (iisreset) per applicare le modifiche.

3. Audit e Pulizia:

   • Rimuovi file .aspx non autorizzati.
   • Verifica la presenza di attività pianificate o meccanismi di persistenza.

🛡️ Riepilogo

• Una vulnerabilità zero-day ad alto impatto in SharePoint consente la compromissione totale del server tramite payload ViewState contraffatti.
• Confermato lo sfruttamento attivo.
• Applicare immediatamente la patch, ruotare le chiavi di crittografia e scansionare per indicatori di compromissione.