Инцидент Микро-Постмортем — Кампания Microsoft SharePoint (On-Prem) “ToolShell”

Этот набор инструментов проводит триаж кампании нулевого дня “ToolShell” середины 2025 года против локального Microsoft SharePoint Server; SharePoint Online не входит в область действия. Он предоставляет сквозные воспроизводимые охоты, коммуникации и схемы без использования внешних данных.

Почему существует этот репозиторий: ускорить триаж аналитика с помощью воспроизводимых детекций и согласованных коммуникаций для руководства.

Область применения и допущения

• Только локальный Microsoft SharePoint Server.
• Вероятный поток атаки: доступный из интернета SharePoint/IIS → создание десериализации/злоупотребление ViewState → развертывание веб-шелла → возможная кража machineKey/ValidationKey → подделка токенов → RCE/горизонтальное перемещение.
• Только синтетические, иллюстративные данные; нет реальной телеметрии организации или проприетарных IOCs.

Снимок ATT&CK

Подчеркнутые техники: T1190 (Эксплуатация приложения, доступного из интернета), T1059.001 (PowerShell), T1505.003 (Веб-шелл), T1078 (Действительные учетные записи), T1027 (Обфусцированные/усложненные файлы), T1003 (Сброс учетных данных ОС), T1082 (Сбор информации о системе), T1021 (Удаленные службы), T1071 (Протокол прикладного уровня), T1567 (Эксфильтрация через веб-сервисы).

Журналы, которые имеют значение (Таблица)

Запустите эти охоты сейчас

• hunts/w3wp_powershell_encodedcommand.kql · SPL · Sigma: Обнаружить закодированный PowerShell, порожденный из рабочего процесса IIS.
• hunts/sharepoint_webshell_filecreate.kql · SPL · Sigma: Определить неожиданные файлы .aspx в корневых веб-каталогах SharePoint.
• hunts/dns_newly_seen_post_iis_anomaly.kql · · : Выявить DNS-домены с низкой распространенностью после аномалий IIS и подозрительных дочерних процессов IIS.

Как воспроизвести в этом репозитории

• Просмотрите samples/example_events.json для образцов записей Windows Security 4688, Sysmon 11 и DNS, соответствующих каждой охоте (включая безвредный шум).
• Ожидаемые результаты (сокращенно):
  • Охота на порождение PowerShell: Account служебной учетной записи пула приложений, CommandLine, содержащий -enc, с 3 вредоносными срабатываниями и 1 примечанием о безвредном скрипте администратора.
  • Охота на создание файла веб-шелла: агрегация, показывающая 2 пути .aspx в \inetpub\wwwroot\wss\VirtualDirectories\80\Layouts\ в час атаки и одна запись безвредного развертывания.
  • Охота на недавно замеченные DNS: домены cdn-msupdate.example, toolshare-sync.example, привязанные к IP-адресу узла IIS, с <5 общими запросами за 24 часа, плюс один безвредный корпоративный CDN-домен, игнорируемый порогом.
• Настройка ложных срабатываний: согласуйте белые списки с задокументированными окнами автоматизации администратора, заявками на изменения развертывания, известными CDN-доменами и запланированными задачами обслуживания. Настройте временные интервалы и пороги распространенности на основе норм платформы; отслеживайте поведение служебных учетных записей с помощью сравнения базовых линий.

Первые 4 часа — План коммуникаций

• Смотрите comms/first_4h.md для готовых к отправке шаблонов и заполнителей.
• Расписание: T+0–30 уведомление о триаже (заинтересованные стороны проинформированы), T+30–120 ежечасные стендапы по определению масштаба, T+120–240 статус сдерживания плюс краткий отчет для руководства, согласованный с деревом решений.
• Визуализация дерева решений: figures/decision-tree.png отражает ASCII-логику в пакете коммуникаций.

Фальсифицируемость и ограничения

• Если автоматизация пула приложений IIS легитимно запускает PowerShell с закодированными сценариями (например, инструменты DevOps), охота на PowerShell сработает; поддерживайте белые списки обслуживания и отслеживайте известные учетные записи автоматизации.
• Быстрая очистка злоумышленником или альтернативные инструменты (например, неуправляемые веб-шеллы CLR, сборки C#) могут обойти телеметрию создания файлов, особенно если покрытие Sysmon неполное или подвержено взлому.

Будущая работа (опционально)

• Ограждения AppSec для приложений, смежных с SharePoint: сканирование секретов для machine keys, проверки CI на опасные шаблоны десериализации и мониторинг целостности корневого веб-каталога во время конвейеров сборки.

Источники (нецитируемые, общие ссылки)

• Руководство Microsoft по безопасности (локальная область применения): https://www.microsoft.com/en-us/msrc/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770
• NVD CVE (локальный SharePoint середины 2025 года): https://nvd.nist.gov/vuln/detail/CVE-2025-53770
• Консультация CISA/MAR (SharePoint середины 2025 года): https://www.cisa.gov/news-events/analysis-reports/ar25-218a

Исследования вендоров:

• Unit 42 — https://unit42.paloaltonetworks.com/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/
• SentinelOne — https://www.sentinelone.com/blog/sharepoint-toolshell-zero-day-exploited-in-the-wild-targets-enterprise-servers/
• Trend Micro — https://www.trendmicro.com/en_us/research.html (поиск: “SharePoint ToolShell CVE-2025-53770”)

Послесборочные заметки — Как адаптировать к реальному SIEM/EDR

• Обновите имена индексов/таблиц (index=*, SecurityEvent, Sysmon) в соответствии с локальными моделями данных (например, m365:security, wineventlog).
• Замените поля-заполнители (Account, ClientIP, TargetFilename) на специфичные для среды псевдонимы или нормализованные схемы (например, user, ip_src, file_path).
• Подтвердите согласование часового пояса; настройте ago(24h) или самые ранние окна в соответствии с удержанием данных и задержкой обнаружения.
• Встройте специфичные для среды белые списки (служебные учетные записи, хосты развертывания) для уменьшения шума при сохранении покрытия злоумышленника.