SecAtor

Исследователи Лаборатории Касперского в деталях разобрали бесфайловый взлом SharePoint группой Storm-2603. В 2025 году несколько разных групп эксплуатировали CVE-2025-53770 и CVE-2025-53771, известные как ToolShell, в локальных версиях Microsoft SharePoint с целью удаленного выполнения кода посредством специально сформированных HTTP-запросов. Одна из них после успешной эксплуатации уязвимости развернула в целевых системах шифровальщик. Как полагает Microsoft, за этой активностью стоит Storm-2603. Компания осторожно оценивает мотивацию группы, однако отмечает, что ранее Storm-2603 разворачивала программы-вымогатели Warlock и LockBit после активной эксплуатации уязвимостей в локальных версиях SharePoint. В декабре ретроспективный анализ позволил выявить активность, которая, по оценке ЛК, соответствует TTPs группы Storm-2603. Исследователи наблюдали аналогичную активность по эксплуатации SharePoint, а также модуль для нейтрализации EDR-решений, связанный с Warlock, и неудачные попытки запуска самого шифровальщика. Атакующий использовал рабочий процесс IIS в качестве моста к инфраструктуре заказчика в оперативной памяти, развернув механизмы доступа и управления в w3wp.exe без записи каких-либо данных на диск. Хотя постэксплуатационные действия оставили на диске определенные артефакты, этот «мост», обеспечивающий злоумышленникам доступ, продолжал работать исключительно в оперативной памяти. Согласно другим задокументированным инцидентам, Storm-2603 использует публичные уязвимости в почтовых шлюзах периметра для получения первоначального доступа с последующим развертыванием фреймворка Velociraptor с высокими привилегиями и установкой устойчивых зашифрованных туннелей с помощью коммерческого ПО для удаленного управления для проведения вторичного горизонтального перемещения. Это соответствует поведенческим паттернам на этапе после компрометации, которые ЛК также наблюдала в инциденте. В сочетании с эксплуатацией ToolShell это позволило со средней степенью уверенности считать описываемый инцидент активностью группы Storm-2603. Главный урок из описанного в отчете инцидента: компрометация доступного из интернета сервера SharePoint может привести к полностью бесфайловому выполнению кода непосредственно в доверенной среде приложения. Storm-2603 обошлась без традиционного дроппера, закрепления посредством службы или открытой конечной точки для связи с командным сервером. Вместо этого злоумышленники развернули веб-шелл внутри процесса w3wp.exe, откуда могли координировать туннелирование, повышение привилегий, доступ к учетным данным и дальнейшее перемещение по сети. Обнаружение подобных угроз должно выходить за рамки поиска файловых веб-шеллов и фокусироваться на поведении среды выполнения: аномальной активности w3wp.exe, неожиданных исходящих соединениях, принуждении к аутентификации через RPC (RPC coercion), имперсонации токенов, а также появлении инструментов удаленного администрирования или DFIR после компрометации приложения. Чтобы разработать надлежащие меры реагирования, специалистам следует восстанавливать цепочки исполнения и временные связи на уровнях приложений, хостов и идентификации, сохранять данные памяти и телеметрию IIS, а также сопоставлять низкосигнальную разведку с последующей привилегированной активностью, вместо того чтобы оценивать события изолированно. Подтвержденный факт эксплуатации SharePoint с выполнением кода требует изоляции хоста, поиска признаков закрепления, ротации учетных данных и раскрытого ключа MachineKey, а также проведения расследования на основе TTPs, а не локального устранения последствий, ограниченного первичным эксплойтом или известными индикаторами компрометации. Технические подробности атаки с хронологией, индикаторами и указанием на то, что должна обращать внимание ИБ-команда - в отчете.