Kaspersky の研究者らは、SharePointサーバに対する Storm-2603 の攻撃を確認しました。この攻撃ではToolShellの脆弱性を悪用し、IISワーカープロセス(w3wp.exe)内にファイルレスバックドアを埋め込んでいました。インプラントは完全にメモリ上で動作していましたが、攻撃の後続段階ではディスク上にファイルが残されていました。
ToolShellは、SharePointの複数の脆弱性を連鎖させた攻撃手法です。CVE-2025-53770とCVE-2025-53771は、それぞれCVE-2025-49704とCVE-2025-49706のパッチを回避する脆弱性です。
このエクスプロイトは、細工したリクエストをToolPane.aspxエンドポイントに送信します。認証を回避し、サーバ上でコードを実行します。
Microsoftは、これらの脆弱性を悪用したランサムウェア攻撃をStorm-2603の仕業と結び付けています。他の攻撃者は、主にスパイ活動や認証情報の窃取を目的に悪用していました。
Webシェルは、ASP.NETランタイムに直接読み込まれます。アプリケーションプールがリサイクルされるか、IISが再起動されるまで、有効な状態が続きます。
中核となるコンポーネントのG.csは、カスタムのVirtualPathProviderを登録します。これによりインプラントはすべてのリクエストを監視できます。ただし、特定のUser-Agentを持つリクエストが届かない限り、休止状態を保ちます。
攻撃者との通信には、XOR難読化を施した独自のバイナリプロトコルを使います。さらに、プロキシツールのsuo5でTCPトンネルを構築し、攻撃者がSharePointサーバ経由で内部ホストにアクセスできるようにします。
EfsPotatoをベースにした権限昇格ルーチンにより、インプラントはSYSTEM権限を得ます。
Webシェルの設置後、w3wp.exeはmsiexec.exeを起動しました。そして、Supabaseのストレージから、CVE-2025-6264の脆弱性を抱えるVelociraptorのバージョン0.73.4.0をインストールしています。
Velociraptorは正規のフォレンジックツールですが、攻撃者はコマンドの実行に利用しました。Cisco Talosは、この手口をすでにStorm-2603と関連付けていました。
攻撃者はその後、Zoho Assist、VS Codeトンネリング、Cloudflare Tunnelを使って、予備のアクセス経路を確保しました。これにより、ToolShellによる足掛かりを排除されても、侵入を維持できます。
さらに、脆弱なドライバ(rsndispot.sys)と、Warlockランサムウェアのアンチウイルス停止ツールと特定されたDLLも設置しました。KasperskyのProactive Defense Moduleは、ランサムウェアの起動をブロックしました。Kasperskyは、この攻撃をStorm-2603によるものと中程度の確信度で結論付けています。
Microsoftが示す対策は、最新のSharePointアップデートの適用、AMSIのFull Modeでの有効化、Defenderまたは同等製品の導入、ASP.NETマシンキーのローテーション、IISの再起動です。再起動するとインプラントが消えてしまうため、その前にメモリとIISのテレメトリを保全しておく必要があると、Securelistは指摘しています。
注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(「[.]」など)しています。元に戻すのは、MISP、VirusTotal、お使いのSIEMといった管理された脅威インテリジェンス基盤の中だけにしてください。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/toolshell-enables-fileless-backdoors/
