📂 Produtos Afetados

📡 Indicadores de Exploração

• Upload de spinstall0.aspx ou arquivos de shell semelhantes.

• Requisições para:

  • /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • Com referrer: _layouts/SignOut.aspx

• w3wp.exe iniciando cmd.exe, powershell.exe ou rundll32.

🧪 Dicas de Detecção

Logs da Web:

• Procure por requisições POST incomuns para páginas de layout do SharePoint.
• Pesquise logs de acesso que envolvam /layouts/ com user agents incomuns.

Sistema de Arquivos:

• Digitalize por arquivos .aspx não reconhecidos em:

  • %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

Processos:

• Monitore processos filhos anômalos sob w3wp.exe.

Rede:

• Detecte conexões de saída para IPs de atacantes conhecidos:

  • 107.191.58.76, 96.9.125.147, 104.238.159.149

🔐 Mitigação

Antes do Patch:

1. Habilite o AMSI:

   • Use o Microsoft Defender Antivirus com suporte a AMSI.
   • O AMSI pode detectar payloads maliciosos de ViewState antes da execução.

2. Aplique Controles de Rede:

   • Restrinja o acesso ao servidor SharePoint apenas a redes internas.

3. Implante EDR/XDR:

   • Use o Defender for Endpoint ou similar para detecção comportamental.

Após o Patch:

1. Instale as Atualizações de Julho de 2025:

   • A Microsoft lançou hotfixes para SharePoint 2016, 2019 e Subscription Edition.

2. Rotacione a machineKey:

   • Altere o ValidationKey e o DecryptionKey do ASP.NET no web.config.
   • Force a reinicialização do IIS (iisreset) para aplicar as alterações.

3. Auditoria e Limpeza:

   • Remova arquivos .aspx maliciosos.
   • Verifique se há tarefas agendadas ou mecanismos de persistência.

🛡️ Resumo

• Um zero-day de alto impacto no SharePoint permite o comprometimento total do servidor por meio de payloads ViewState forjados.
• Exploração ativa confirmada.
• Aplique o patch imediatamente, rotacione as chaves de criptografia e verifique se há indicadores de comprometimento.