Storm-2603, вероятно, эксплуатировала уязвимость SharePoint CVE-2025-53770

Группа Storm-2603 эксплуатировала локальный сервер SharePoint с помощью активности ToolShell, связанной с CVE-2025-53770. Запуск шифровальщика Warlock заблокировали. Совокупность эксплуатации SharePoint, использования Velociraptor и активности, связанной с Warlock, позволяет с умеренной степенью уверенности приписать эти действия Storm-2603.

Внедрение веб-шелла и действия в SharePoint

20 декабря злоумышленник зондировал уязвимость, затем активность не наблюдалась в течение трёх дней. 24 декабря специально сформированный запрос с IP-адреса 45.91.94.204 привёл к выполнению кода в рабочем процессе IIS w3wp.exe. Ретроспективный анализ связал первоначальное зондирование с последующим вторжением.

Злоумышленник внедрил многомодульный веб-шелл непосредственно в среду выполнения ASP.NET. Слой доступа работал в оперативной памяти и не записывался на диск. Имплант использовал хук VirtualPathProvider для проверки входящих запросов и активировался только при наличии определённого заголовка User-Agent. Для обмена данными он применял собственный протокол с XOR-обфускацией и поддерживал полнодуплексное проксирование на внутренние хосты. Это давало возможность создавать туннели и выполнять пивотинг в сети.

Состояние импланта в памяти терялось при завершении домена приложения или перезапуске IIS. Веб-шелл мог загружать файлы, перечислять пользователей, вошедших в систему, и создавать учётные записи администраторов через подсистему SAM RPC.

Для повышения привилегий применялась техника имперсонации через именованный канал EFSRPC, основанная на EfsPotato. Она использовалась для получения токена SYSTEM. Вскоре после внедрения w3wp.exe запустил msiexec.exe, чтобы установить Velociraptor версии 0.73.4.0 из хранилища Supabase.

Инструменты и признаки для обнаружения

Злоумышленник использовал Velociraptor для выполнения команд, закрепления, разведки и сбора данных, а также развернул несколько инструментов доступа: Zoho Assist, туннелирование через VS Code CLI и Cloudflare Tunnel. Во вторжение также входила попытка нейтрализовать средства защиты с помощью уязвимого драйвера rsndispot.sys и вредоносной DLL, связанной с шифровальщиком Warlock.

Среди признаков, которые могут помочь обнаружить подобную активность, в отчёте перечислены:

• аномальное поведение w3wp.exe и исходящие соединения;
• неожиданные реализации VirtualPathProvider;
• артефакты загрузчика и памяти, связанные с десериализацией, включая Microsoft.GeneratedCode, App_Web_toolpane.aspx*, ObjectDataProvider, ExpandedWrapper и LosFormatter;
• признаки принуждения через RPC или имперсонации токена.

При расследовании авторы отчёта рекомендуют сопоставлять действия по разведке с последующей активностью и сохранять телеметрию IIS и память процессов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.