SharePointゼロデイ攻撃（ToolShell）- ネットワークインフラストラクチャのマッピング

はじめに

ISMGの報道によると、
約150の異なる組織のオンプレミスSharePointサーバーが、現在ToolShellとして追跡されているゼロデイ脆弱性を狙う攻撃者により悪用されました。初期の攻撃は中国と関連するグループによるものとされ、場合によってはWarlockランサムウェア感染につながっています。

Resecurityは、Microsoftの公式アドバイザリに先立つ2025年7月17日という早い時期に、実環境での悪用活動を観測しました。攻撃者はこの脆弱性を、以前にパッチが提供されていた欠陥であるCVE-2025-49704およびCVE-2025-49706と連鎖させており、これらはいずれも7月8日のPatch Tuesdayリリースで対処され、7月14日までに公開PoCコードが出現していました。

技術的な悪用に加え、Microsoftは攻撃を2つの中国の国家支援アクターとして命名されたLinen TyphoonおよびViolet Typhoonに帰属させました。さらに、別の中国系脅威アクターであるStorm-2603も、活発な悪用に関与しているとされています。これらのグループはインターネットに露出したSharePointサーバーを標的としており、政府機関、重要インフラ、大学、民間企業など、世界中の幅広い分野で侵害が確認されています。

MAPPからの漏えい？

Microsoftが今月リリースしたセキュリティパッチは、米国のテック大手のSharePointサーバーソフトウェアにおける重大な欠陥を完全には修正できず、世界規模の大規模なサイバー諜報活動への扉を開く結果となりました。Microsoftは、同社のMicrosoft Active Protections Program（MAPP）—サイバーセキュリティパートナー向けの早期警戒システム—からの漏えいが、中国のハッカーにSharePointサーバーソフトウェアの未パッチ脆弱性を悪用させた可能性があるかどうかを調査しています。Microsoftは「当社はすべてのパートナープログラムの有効性とセキュリティを継続的に評価し、必要に応じて必要な改善を行っている」と確認しました。

2008年に開始されたMAPPプログラムは、セキュリティベンダーに対し、脆弱性の技術的詳細—場合によってはサンプルの概念実証（PoC）コード—を事前に通知し、顧客をより適切に保護できるようにすることを目的としていました。いま漏えいが起きたとすれば、それはプログラムの使命—攻撃者ではなく防御側を強化する—に真っ向から反するものです。Microsoftは漏えい元を特定したかどうかを明らかにしていませんが、NDA違反は重大に扱うと強調しました。

活発な悪用の発信源

業界が攻撃の構造理解に注力する一方で、ResecurityのHUNTERチームは、非常に早い段階から、これを悪用するアクターに関連するネットワークインフラを調査していました。ネットワークのパッシブセンサーを活用して関連テレメトリを収集し、この悪意ある活動の発信源を再現するためです。なぜ重要なのでしょうか。第一に注目すべき点として、アクターは複数プロバイダーのクラウドインフラを、複数国にまたがって（米国、ブラジル、ドイツ、インド、香港、ルーマニア、オランダ、台湾、日本、ベトナム、韓国などを含むがこれらに限らない）悪用することに成功していました。

2025年7月17日 – IP 96.9.125[.]147
が、悪用試行を生成していたホストの1つとして検出されました。この活動が脅威アクターに関連するのか、あるいはセキュリティ研究者の可能性があるのかは不明です。状況は、悪用が他地域のIPアドレスを巻き込む大規模作戦へと移行したことで、より明確になりました。

このIPの何が興味深いのでしょうか？

Constant Company LLCは、クラウドインフラサービスの提供に特化するVultrの親会社です。同社はVultrを運営・管理し、世界中の開発者や企業に対してクラウドコンピューティング、ベアメタル、仮想サーバーのソリューションを提供しています。

注目すべきことに、数日後の7月21日および7月22日に、同一プロバイダーを発信源とする、活発な悪用に関与した別のIPアドレス群のクラスターが特定されました。中国の脅威アクターが攻撃の発信源をぼかすために同社のクラウドインフラを悪用していた可能性があります。

107.191.58[.]76

The Constant Company, LLC
2025-07-18
SharePoint脆弱性を悪用していたIPアドレス。

64.176.50[.]109

The Constant Company, LLC
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス。

149.28.17[.]188

The Constant Company, LLC
2025-07-22
SharePoint脆弱性を悪用していたIPアドレス。

悪用の試みは3つの異なるIPアドレス—104.238.159[.]149、107.191.58[.]76、96.9.125[.]147—から発生しており、そのうち1つは、Ivanti Endpoint Manager Mobile（EPMM）アプライアンスにおけるセキュリティ欠陥の武器化（CVE-2025-4427およびCVE-2025-4428）に以前関連付けられていました。

注目すべきことに、96.9.125[.]147は、悪用活動が始まったのと同時期である7月18日頃に登録されたドメイン名「dynastyjusticecollective.site」にもマッピングされていました：

WHOIS：

Domain Name: DYNASTYJUSTICECOLLECTIVE.SITE
Registry Domain ID: D570923706-CNIC
Registrar WHOIS Server: whois.namecheap.com
Registrar URL: <a href="https://namecheap.com" rel="nofollow">https://namecheap.com</a>
Updated Date: 2025-07-18T06:55:55.0Z
Creation Date: 2025-07-18T06:55:51.0Z
Registry Expiry Date: 2026-07-18T23:59:59.0Z
Registrar: Namecheap
Registrar IANA ID: 1068
Domain Status: serverTransferProhibited <a href="https://icann.org/epp#serverTransferProhibited" rel="nofollow">https://icann.org/epp#serverTransferProhibited</a>
Domain Status: clientTransferProhibited <a href="https://icann.org/epp#clientTransferProhibited" rel="nofollow">https://icann.org/epp#clientTransferProhibited</a>
Name Server: DNS1.REGISTRAR-SERVERS.COM
Name Server: DNS2.REGISTRAR-SERVERS.COM
DNSSEC: unsigned
Registrar Abuse Contact Email: [email protected]
Registrar Abuse Contact Phone: +1.9854014545

その後、脅威アクターは新たなIPアドレス群へ移行しました：

83.136.182[.]237
Alina Gatsaniuk
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス。

2.56.190[.]139
Alina Gatsaniuk
2025-07-22
SharePoint脆弱性を悪用していたIPアドレス。

より深い調査により、このネットワークホストが、英国拠点の接続性、クラウドホスティング、専用サーバープロバイダーであるCloudviderに関連している可能性が示されるかもしれません。公開情報によれば、Alina Gatsaniukという名前は、以前NordVPNおよびその関連インフラと関連付けられていました。アクターが活発な悪用の際にVPNサービスを利用した、または各種サードパーティプロバイダーを通じてサーバーをレンタルした可能性があります。

特定されたIPは、パナマで登録されたPackethubという、比較的目立たないプロファイルのサードパーティプロバイダーの1つに関連しています：

NordVPNが、一部サーバーでPacketHubのインフラ（IPアドレスを含む）を利用している可能性があります。つまり、特定のNordVPNサーバーに接続すると、トラフィックがPacketHubから来ているように見える場合があります。複数のネットワークインテリジェンスおよびIPレピュテーションデータベースは、PacketHubのIPアドレスがNordVPNに関連しているとしてフラグを立てています。Resecurityは、NordVPNまたはPackethubが悪意あるサイバー活動に関与しているとは解釈していませんが、そのインフラまたはサービスが攻撃者に悪用された可能性が高いことを示しています。

別の主要クラウドプロバイダーであるDigitalOceanも、活発な悪用の際に悪用されました。このIPには以前、主にインドの企業や人物に関連する複数のドメイン名がマッピングされていました。脅威アクターがこれを悪用した、ホストを侵害した、またはスキャン実施のために自らVPSを登録した可能性があります。

139.59.11[.]66
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス

45.191.66[.]77
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス

45.191.66[.]77 – viaclip.com.brは、ブラジルの企業であるVIACLIP INTERNET E TELECOMUNICAÇÕES LTDAに関連しており、同社はインターネットサービスプロバイダー（ISP）および通信事業者として運営されています。同社は小規模なBGP（Border Gateway Protocol）ネットワークを管理し、ブラジルでインターネットおよび通信サービスを提供しています。

欧州やアジア太平洋地域のホストを含む他のスキャン用IPアドレスにより、不正アクターは攻撃の発信源を隠蔽できました。中国のアクターが他国の通信インフラを悪用し、第三者経由で悪意あるサイバー活動を行う場合、このような戦術は想定されます。

クラウドサービスの特性上、この活動の地理的解像度は曖昧になり得ます。ある法域で登録されたプロバイダーが、他の場所に複数のレンタルまたはリースされたネットワークを持つ場合があり、攻撃元の解釈を誤らせる可能性があります。

例えば、攻撃者が使用したと特定されたホストの一部は日本から発信しているように見えましたが、実際には米国拠点のクラウドサービスプロバイダーに紐づいていました。

64.176.50[.]109
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス

149.28.17[.]188
2025-07-22
SharePoint脆弱性を悪用していたIPアドレス

162.248.74[.]92
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス

中国のアクターは、悪用が中国発であることを示さないインフラを活用しようとした可能性があります。そのため、世界的な展開を持つ中国国外の複数のクラウドプロバイダーを利用していました。

38.54.106[.]11
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス

206.166.251[.]228
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス

このオペレーターのウェブサイトには次のように記載されています：「BL Networksは、インターネット企業にIPアドレスおよび関連サービスを提供します。BL Networksは、特定のIPアドレスを現在または過去に使用している機器および／またはサービスの直接の運用者であるとは限りません」

45.77.155[.]170
2025-07-21
SharePoint脆弱性を悪用していたIPアドレス

173.239.247.32
2025-07-22
SharePoint脆弱性を悪用していたIPアドレス

173.239.247[.]32

– 実際、このIPは米国で運営されるLogicWeb Inc.に紐づいています。これに関連するASネットワークは、オーストラリア拠点のAS137409 GSL Networks Pty Ltd（Global Secure Layer（GSL）としても知られる）に関連しており、IPトランジットサービスを専門とし、DDoS保護を提供しています。利用可能なネットワークインテリジェンスおよびIPレピュテーションデータによれば、このIPはCyberGhost VPNサーバーに関連している可能性があり、サイバー犯罪者が匿名化のために利用することがあります。VPNサービスが第三者からクラウドや専用サーバーを借りるのは一般的であり、この場合、曖昧な地理的解像度により、攻撃がベトナムと何らかの形で関連しているという誤った推測につながる可能性があります。

109.105.193[.]76
2025-07-22
SharePoint脆弱性を悪用していたIPアドレス

109.105.193[.]76

– 曖昧な解像度の別の良い例として、このIPアドレス情報は、ホストがボスニア拠点の企業（Team Consulting d.o.o. Sarajevo）により管理されている可能性を示しています。

124.56.42[.]75
2025-07-22
SharePoint脆弱性を悪用していたIPアドレス

124.56.42[.]75

– このホストは、韓国のLG POWERCOMMが提供するインターネットサービス「Xpeed」に紐づいています。具体的には、LG POWERCOMMは「Xpeed Optic LAN」サービスを強化し、集合住宅のインターネット回線を100 Mbpsから1 Gbpsへアップグレードしました。

141.164.60[.]10
2025-07-22
SharePoint脆弱性を悪用していたIPアドレス

Resecurityは、時間経過に伴う悪用活動を分析し、関与した発信源を地理およびISPを考慮してマッピングしました。この分析により、悪用されたクラウドサービスプロバイダーが優勢であるなど、一定のパターンが明らかになりました：

通信事業者およびクラウドサービスの悪用

総称して「ToolShell」と呼ばれる悪用キャンペーン（CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771）において、中国のアクターは、クラウドサービス、仮想／専用サーバーのリセラー、ホスティングプロバイダーの悪用・不正利用を通じて、海外の通信インフラも積極的に活用していました。業界は、顧客確認（KYC）手続きの強化実装を加速し、中国発の国家支援アクターに関連する可能性のある不審な顧客を検出すべきです。

観測された悪用パターン

# ログ分析クエリ（SIEMの構文に置き換えてください）
cs-method="POST" AND cs-uri-stem="/_layouts/15/ToolPane.aspx"
cs-method="POST" AND cs-uri-query="DisplayMode=Edit&a=/ToolPane.aspx"
cs-bytes > 7000（典型的なエクスプロイトのペイロードサイズ）
cs(User-Agent)="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0"
cs(Referer)="/_layouts/SignOut.aspx"
sc-status=200 AND time-taken > 5000（デシリアライズを示唆する低速処理）

実際の攻撃から得られた特定のIOC：

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx
Content-Length: 7699
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Referer: /_layouts/SignOut.aspx
Body contains: MSOTlPn_Uri=http%3A%2F%2F[domain]%2F_controltemplates%2F15%2FAclEditor.ascx
Body contains: CompressedDataTable%3D%22H4sIAAAAAAAEANVa23LbSJLt3stEzMzu0%2F6AQs%2B2BJCiu%2BWQ

index=iis source="*iis*"
| search cs_method="POST" cs_uri_stem="/_layouts/15/ToolPane.aspx" cs_uri_query="DisplayMode=Edit&a=/ToolPane.aspx"
| eval payload_size=tonumber(cs_bytes)
| where payload_size > 7000
| search cs_User_Agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0"
| stats count by src_ip, cs_uri_stem, payload_size
| sort -payload_size

実攻撃向けの強化検知

index=iis
| search cs_method="POST" AND cs_uri_stem="/_layouts/15/ToolPane.aspx"
| where cs_bytes > 7000 AND cs_bytes < 10000
| search cs_Referer="/_layouts/SignOut.aspx"
| eval attack_pattern=if(like(cs_User_Agent, "%Windows NT 10.0; Win64; x64; rv:120.0%"), "CVE-2025-53770", "Other")
| where attack_pattern="CVE-2025-53770"
| table _time, src_ip, cs_uri_query, cs_bytes, sc_status

Elastic/Kibanaクエリ

{
  "query": {
    "bool": {
      "must": [
        {"term": {"http.request.method": "POST"}},
        {"term": {"url.path": "/_layouts/15/ToolPane.aspx"}},
        {"term": {"url.query": "DisplayMode=Edit&a=/ToolPane.aspx"}},
        {"range": {"http.request.bytes": {"gte": 7000, "lte": 10000}}},
        {"term": {"user_agent.original": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0"}},
        {"term": {"http.request.referrer": "/_layouts/SignOut.aspx"}}
      ]
    }
  }
}

title: CVE-2025-53770 SharePoint ExcelDataSet Exploitation
id: cve-2025-53770-sharepoint-exploit
description: CVE-2025-53770 SharePointデシリアライズ脆弱性の悪用試行を検知
references:
    - <a href="https://github.com/your-repo/CVE-2025-53770-Scanner" rel="nofollow">https://github.com/your-repo/CVE-2025-53770-Scanner</a>
author: Security Team
date: 2025/07/21
logsource:
    category: webserver
    product: iis
detection:
    selection:
        cs-method: 'POST'
        cs-uri-stem: '/_layouts/15/ToolPane.aspx'
        cs-uri-query: 'DisplayMode=Edit&a=/ToolPane.aspx'
        cs-bytes:
            - gte: 7000
            - lte: 10000
        cs-User-Agent: 'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0'
        cs-Referer: '/_layouts/SignOut.aspx'
    condition: selection
falsepositives:
    - 正当なSharePoint管理作業
level: high
tags:
    - attack.initial_access
    - attack.t1190
    - cve.2025.53770

参考文献

– SharePointゼロデイが悪用され、Warlockランサムウェアを解き放つ
https://www.databreachtoday.com/sharepoint-zero-days-exploited-to-unleash-warlock-ransomware-a-29073…

– オンプレミスSharePoint脆弱性の活発な悪用の妨害
https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premis…

– 更新：MicrosoftがSharePoint脆弱性の悪用に関するガイダンスを公開

https://www.cisa.gov/news-events/alerts/2025/07/20/update-microsoft-releases-guidance-exploitation-s…

免責事項

本出版物で言及されているすべての第三者製品名、ロゴ、ブランドは、それぞれの所有者の財産であり、識別目的のみに使用されています。これらの名称、ロゴ、ブランドの使用は、当該第三者との提携、推奨、後援、または関連を示唆するものではありません。