Il controllo su SharePoint resta nascosto nella memoria del server
Kaspersky ha ricostruito un’intrusione di dicembre in Microsoft SharePoint, associata alle tattiche di Storm-2603, in cui il ponte di accesso è rimasto in memoria anche dopo che le attività successive hanno lasciato file su disco. La prima sonda è stata rilevata il 20 dicembre; l’exploit è arrivato il 24, dopo tre giorni senza attività, e il collegamento tra i due momenti è stato inizialmente mancato.
Nel processo worker IIS w3wp.exe, l’attaccante ha mantenuto un relay nella memoria, senza salvare su disco il meccanismo che conservava accesso e controllo. Le operazioni successive hanno prodotto file, ma una ricerca limitata al disco può non trovare il ponte che mantiene l’accesso. Kaspersky segnala anche l’esecuzione di comandi tramite abuso della versione vulnerabile 0.73.4.0 di uno strumento DFIR.
La sonda iniziale può sembrare isolata e i file su disco non bastano a stabilire se l’accesso persiste: il quadro dell’intrusione comprende anche la memoria, la cronologia delle attività e lo strumento DFIR.
CVSS 9.8 CRITICAL: deserialization of untrusted data in on-premises Microsoft SharePoint Server allows an unauthorized attacker to… Impiego noto in campagne ransomware. EPSS 100% (100º percentile).
Data di correzione federale CISA 21 lug · data superata
CVSS 6.5 MEDIUM: improper authentication in Microsoft Office SharePoint allows an unauthorized attacker to perform spoofing over a… EPSS 100% (100º percentile).
How to detect fileless attacks exploiting ToolShell: analyzing the Storm-2603 incident
Kaspersky researchers analyze a complex fileless cyberattack by Storm-2603 involving ToolShell exploitation and subsequent runtime subversion, and discuss how to detect such intrusions.