Kaspersky opisao SharePoint napad sa webshellom u memoriji i pokušajem pokretanja Warlocka
Nova analiza opisuje raniji napad preko ToolShell propusta: webshell je radio u memoriji, a kasnije su postavljeni alati za udaljeni pristup. Kaspersky vezu sa Storm-2603 ocenjuje kao umereno pouzdanu.
Šta se desilo?
Kaspersky je 5. novembra 2026. objavio analizu ranijeg napada na lokalno instaliran Microsoft SharePoint Server. Napadač je preko ToolShell propusta učitao webshell direktno u memoriju procesa w3wp.exe. Kasnije faze napada ostavile su tragove na disku.
Istraživači ovaj incident povezuju sa grupom Storm-2603 uz umerenu pouzdanost. Navode i da je endpoint zaštita blokirala pokušaj pokretanja Warlock ransomware-a.
Koga pogađa?
ToolShell se odnosi na lokalno instalirane SharePoint servere bez odgovarajućih ispravki. Microsoft je zakrpe objavio u julu 2025. za SharePoint Server 2016, 2019 i Subscription Edition. SharePoint Online u okviru Microsoft 365 nije pogođen ovim propustima.
Podrška za izdanja 2016 i 2019 završena je u julu 2026. Organizacije koje ih koriste treba da planiraju prelazak na podržano izdanje.
Kako se zaštititi?
- Za podržana izdanja instalirajte najnovija primenljiva bezbednosna ažuriranja, uključujući potrebne jezičke pakete.
- Pratite Microsoft-ov redosled zaštite: ažuriranje i pravilno podešena AMSI zaštita, rotacija ASP.NET machine keys, pa restart IIS-a na svim serverima u farmi.
- Koristite endpoint zaštitu i proverite neuobičajeno ponašanje procesa w3wp.exe, nove administratorske naloge i neodobrene alate za udaljeni pristup.
- Ako sumnjate na kompromitovanje, izolujte pogođene sisteme i uključite tim za odgovor na incidente. Sačuvajte memoriju i relevantne logove pre restarta kada je to izvodljivo bez odlaganja hitnog ograničavanja napada.
Tehnički detalji
Prema zapisima Microsoft-a u CVE registru, CVE-2025-53770 omogućava udaljeno izvršavanje koda zbog nebezbedne deserijalizacije, uz CVSS 3.1 ocenu 9,8. Povezani CVE-2025-53771 je propust u autentifikaciji koji omogućava lažno predstavljanje, sa ocenom 6,5.
Webshell je koristio prilagođeni VirtualPathProvider u ASP.NET okruženju. Napadač je zatim zloupotrebio Velociraptor, Zoho Assist, VS Code tuneliranje i Cloudflare Tunnel za dodatni pristup. Pronađeni su i ranjivi drajver i komponenta za ometanje zaštite povezana sa Warlockom. Prisutnost legitimnog alata sama po sebi nije dokaz napada.
Zašto je važno?
Pretraga sumnjivih fajlova može propustiti implant u memoriji. Za organizacije u Srbiji i regionu koje koriste SharePoint važni su inventar izloženih servera, pravovremena ažuriranja i nadzor ponašanja procesa.
Preporuka Sajber Radara
Proverite i primenu zakrpa i moguće posledice ranijeg upada. Ako je kompromitovanje potvrđeno, sprovedite istragu dodatnih pristupa i zamenu izloženih ključeva i kredencijala. Koristite Microsoft-ovo uputstvo za zaštitu i proverite status podrške Vašeg izdanja.