📂 Затронутые продукты

📡 Индикаторы эксплуатации

• Загрузка spinstall0.aspx или аналогичных файлов-оболочек.

• Запросы к:

  • /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • С реферером: _layouts/SignOut.aspx

• w3wp.exe порождает cmd.exe, powershell.exe или rundll32.

🧪 Советы по обнаружению

Веб-логи:

• Ищите необычные POST-запросы к страницам макетов SharePoint.
• Поищите в журналах доступа запросы, содержащие /layouts/ с необычными пользовательскими агентами.

Файловая система:

• Сканируйте на наличие нераспознанных файлов .aspx в:

  • %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

Процессы:

• Отслеживайте аномальные дочерние процессы в w3wp.exe.

Сеть:

• Обнаруживайте исходящие соединения с известными IP-адресами злоумышленников:

  • 107.191.58.76, 96.9.125.147, 104.238.159.149

🔐 Смягчение последствий

До установки патча:

1. Включите AMSI:

   • Используйте Microsoft Defender Antivirus с поддержкой AMSI.
   • AMSI может обнаруживать вредоносные полезные нагрузки ViewState до их выполнения.

2. Примените сетевые контрмеры:

   • Ограничьте доступ к серверу SharePoint только внутренними сетями.

3. Разверните EDR/XDR:

   • Используйте Defender for Endpoint или аналогичные решения для поведенческого обнаружения.

После установки патча:

1. Установите обновления июля 2025 г.:

   • Microsoft выпустила исправления для SharePoint 2016, 2019 и Subscription Edition.

2. Смените machineKey:

   • Измените ValidationKey и DecryptionKey ASP.NET в web.config.
   • Принудительно перезапустите IIS (iisreset), чтобы применить изменения.

3. Аудит и очистка:

   • Удалите вредоносные файлы .aspx.
   • Проверьте наличие запланированных задач или механизмов сохранения доступа.

🛡️ Резюме

• Высоковлиятельная уязвимость нулевого дня в SharePoint позволяет полностью скомпрометировать сервер с помощью поддельных полезных нагрузок ViewState.
• Подтверждена активная эксплуатация.
• Немедленно установите патч, смените ключи шифрования и проверьте индикаторы компрометации.