Storm-2603 Bedrohungsanalyse für Damovo-Kunden

Storm-2603, ein staatlich unterstützter oder staatlich verbundener Bedrohungsakteur, begann am 18. Juli 2025 mit der groß angelegten Ausnutzung von lokalen SharePoint Servern (Versionen 2016, 2019 und Subscription Edition). Dabei wurde eine serialisierte Payload über den ToolPane.aspx-Handler eingeschleust, um eine persistente Webshell (spinstall0.aspx) zu platzieren und ASP.NET-Maschinenschlüssel zu exfiltrieren. Ein erfolgreicher Angriff ermöglicht die vollständige Systemübernahme und eine schnelle laterale Bewegung – mit dem Ziel, innerhalb von 60–90 Minuten die Warlock-Ransomware zu installieren.

In Europa sind die meisten Angriffe in den Niederlanden, Deutschland, Frankreich, Polen und Schweden zu verzeichnen. Betroffen sind insbesondere die Branchen Telekommunikation, öffentliche Verwaltung, Hochschulen und kritische Infrastrukturen.

Handlungsempfehlung für Führungskräfte:

• Planen Sie die sofortige Installation der Microsoft Sicherheitsupdates vom Juli 2025(KB5002768, KB5002754, KB5002753).
• Sicherstellen, dass kontinuierliche Telemetrie für SharePoint-IIS-Prozesse (w3wp.exe), PowerShell und ToolPane.aspx-Zugriffe aktiv ist.
• Security Operations Center (SOC) mit den untenstehenden Erkennungsregeln, Playbooks und IOC-Feeds ausstatten und Incident-Response-Teams entsprechend vorbereiten.

Hintergrund: Die Storm-2603 ToolShell-Kampagne

Profil des Angreifers

Storm-2603 (auch bekannt als Violet Typhoon) steht im Zusammenhang mit staatlichen Interessen Chinas. Der Akteur nutzt regelmäßig Deserialisierungsfehler auf Servern für Credential Theft und Ransomware-Vorbereitung. Typisch sind persistente Webshells, dateilose PowerShell-Ausführung, DNS-over-HTTPS-Kommunikation und forensikvermeidende Log-Manipulation.

Ausgenutzte Schwachstellen (CVEs)

Exploit Chain (ToolShell)

Eine Exploit Chain ist eine Abfolge von Aktionen oder Techniken, die ein Angreifer verwendet, um ein System zu kompromittieren, wobei jeder Schritt auf dem vorhergehenden aufbaut, um tieferen Zugriff oder schädlichere Auswirkungen zu erzielen. Im Kontext der ToolShell-Exploit Chain veranschaulichen die Schritte 1-5, wie ein Angreifer methodisch Authentifizierungskontrollen umgeht, Persistenz etabliert, Privilegien ausweitet und letztendlich eine verheerende Ransomware-Payload liefert:

1. Authenticated-bypass POST an /_layouts/15/ToolPane.aspx?DisplayMode=Edit mit bösartigem Referrer: /_layouts/SignOut.aspx löst eine unsichere Objektdeserialisierung aus.
2. Web-Shell Drop: spinstall0.aspx hochgeladen nach C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Server Extensions\16\160.aspx.
3. Exfiltration von Maschinenschlüsseln über eine benutzerdefinierte DLL (IISServerdll.dll), die die Fälschung von Cookies und das Hijacking persistenter Sitzungen ermöglicht.
4. Privilegienerweiterung durch w3wp.exe, die eine verschlüsselte PowerShell auslöst, um xd.exe Reverse Proxy und SharpHostInfo.x64.exe auszuspionieren.
5. Ransomware-Stadium: Warlock-Nutzdaten werden ausgeführt, Dateien werden mit der Erweiterung .warlock umbenannt und es wird eine !README!.txt-Notiz hinterlassen.

Zuerst nutzt der Angreifer eine Deserialisierungsfehler über eine speziell präparierte POST-Anfrage aus und setzt dann eine Webshell für dauerhaften Zugriff ein. Danach werden kritische kryptografische Materialien exfiltriert, um persistente Session-Hijacking zu ermöglichen. Der Angreifer eskaliert dann Privilegien mithilfe von kodierten PowerShell-Befehlen, um zusätzliche Tools für Aufklärung und Reverse Proxying bereitzustellen. Schließlich kulminiert der Angriff in der Bereitstellung von Ransomware, die Dateien verschlüsselt und eine Zahlung fordert, was die Auswirkungen der Exploit Chain festigt.

Proof of Concept

Obwohl zum Zeitpunkt der Erstellung dieses Blogposts kein veröffentlichter Proof of Concept (PoC)-Code für die Schwachstelle existiert, bietet der Blogbeitrag von Viettel Cyber Security mit dem Titel "SharePoint ToolShell - One Request PreAuth RCE Chain" eine glaubwürdige, technische Aufschlüsselung der ToolShell-Exploit Chain und dient als wichtige Quelle für Erkennung, Suche und Incident Response. Es wird jedoch kein PoC-Exploit-Skript verteilt oder direkt mit diesem verlinkt.

Das Repository https://github.com/testanull/MS-SharePoint-July-Patch-RCE-PoC ist ein öffentlich verfügbares PoC-Exploit-Tool für die SharePoint-Schwachstellen CVE-2024-38094, CVE-2024-38024 und CVE-2024-38023. Das im Juli 2024 erstellte und vollständig in Python geschriebene Tool bietet den PoC-Code und ein verlinktes PoC-Demonstrationsvideo für weitere Anleitungen. Derzeit gibt es keine Hinweise darauf, dass dieses Tool direkt zum Ausnutzen der ToolShell-Schwachstellen verwendet werden kann, obwohl die Methodik einige Einblicke in SharePoint-Exploitation-Techniken im Allgemeinen bietet.

Indicators of Compromise (IOCs)

Wir haben eine umfangreiche Liste veröffentlichter IOCs in einer herunterladbaren JSON-Datei für Ihre Analyseaktivitäten zusammengestellt: sharepoint_schwachstellen_iocs.json. Die JSON-Datei hat ihr 'source'-Feld entsprechend ausgefüllt, sodass Sie die Zuordnung für jede Datenzeile durch Überprüfung dieses Feldes sehen können. Viele dieser Indikatoren wurden von Microsoft und CISA beigesteuert, mit ergänzenden Erkenntnissen von führenden kommerziellen Sicherheitsforschungsteams sowie detaillierten forensischen Berichten und Bloganalysen. Hashes, Dateinamen, Domänen und IP-Adressen, die sich auf die Storm-2603-Informationsdiebstahl-/Backdoor-Kampagne vom Juli 2025 beziehen, wurden alle im JSON des Microsoft Security Blog vom 22. Juli 2025 zugeordnet.

• Microsoft- Offizielle Sicherheitshinweise von Microsoft und technische Informationen zu Bedrohungen.
• CISA - Die US-amerikanische Cybersecurity and Infrastructure Security Agency
• SentinelOne - Anbieter von Bedrohungsanalysen und -berichten.
• Rapid7 - Anbieter von Sicherheitsanalysen und Internet-Bedrohungsüberwachung.
• Wiz - Forschung und Analyse zur Cloud .
• SOCRadar - Unternehmen für Bedrohungsanalysen und Datenanalyse.
• Syskit - Anbieter von Microsoft 365 und SharePoint-Berichtstools.
• Foresiet - Anbieter von Sicherheitsinformationen.
• Logpoint - Anbieter von Sicherheitsinformationen und Ereignisverwaltung (SIEM).
• Technische Analyse - Basiert auf öffentlich zugänglichem technischem Research von vertrauenswürdigen Analysten.
• Mehrere Quellen - Wird verwendet, wenn mehrere Organisationen oder koordinierte Offenlegungen denselben Indikator gemeldet haben.
• Microsoft Sicherheits-Blog (2025-07-22) - Für die jüngste Welle von IOCs, insbesondere für die Untersuchungen nach der Ausnutzung von CVE-2024-38094 und damit verbundenen Bedrohungen.

Detection- & Monitoring-Anleitung

Die folgende Detection- und Monitoring-Anleitung sollte Ihnen helfen, Ihre Infrastruktur so vorzubereiten, dass die potenzielle Ausnutzung der SharePoint-Schwachstellen erkannt wird. Ohne entsprechende Protokollierung oder Signalgebung ist Ihre Organisation blind für Angriffsversuche, was die Reaktion auf einen Vorfall extrem schwierig macht.

Zu aktivierende Protokollquellen

Sie können die Aktivität nicht sehen, wenn Sie sie nicht protokollieren. Die folgende Anleitung sollte befolgt werden, um die richtigen Protokollquellenkonfigurationen für weitere Analysen zu aktivieren:

• IIS HTTP-Protokolle mit vollständiger URL- und Header-Erfassung.
• Windows PowerShell-Betriebsprotokoll (Ereignis-ID 4104).
  • Die Ereignis-ID 4104 protokolliert die Ausführung von PowerShell-Skriptblöcken, bei denen es sich um Befehle, Funktionen oder ganze Skripts handeln kann.
• Event Tracing for Windows (ETW) Antimalware Scan Interface (AMSI) Ereignisse für Skriptinhalte.
• Firewall-Proxy-Protokolle zur Erkennung von ausgehendem update.updatemicfosoft.com-Datenverkehr über Port 443.

SIEM-Korrelationsregeln

Mit aktivierter entsprechender Protokollierung empfehlen wir dringend, eine SIEM-Plattform zu verwenden, um erkannte Aktivitäten zu sammeln, zu aggregieren und zu untersuchen. Die folgenden sind nur einige Empfehlungen für einige der häufiger verwendeten SIEM-Plattformen.

index=wineventlog (HttpRequestUri="/_layouts/15/ToolPane.aspx*" 
OR HttpRequestUri="*/spinstall*.aspx") 
OR (ProzessName="w3wp.exe" CommandLine="*EncodedCommand*")

let timeWindow = 24h;
let scriptExtensions = dynamic([".aspx", ".asmx", ".asax"]);
DeviceFileEvents
| where TimeGenerated > ago(timeWindow)
| where FolderPath has_any (
@"microsoft shared\Web Server Extensions\15\TEMPLATE\LAYOUTS",
@"microsoft shared\Web Server Extensions\16\TEMPLATE\LAYOUTS"
)
| where Dateiname has_any ("spinstall0", "spinstall", "spinstall1", "spinstall2")
oder Dateiname has_any (scriptExtensions)
| where ActionType == "FileCreated"
| project TimeGenerated, DeviceName, InitiatingProcessFileName,
InitiatingProcessCommandLine, FileName, FolderPath, SHA256
| erweitern Sie HostCustomEntity = Gerätename, FileHashCustomEntity = SHA256

spinstall*.aspx Datei I/O

event.dataset == "iis.access" und url.path == "/_layouts/15/ToolPane.aspx"

URI ENTHÄLT "ToolPane.aspx" UND REFERER ENTHÄLT "SignOut.aspx"

Falsch-positiver Hinweis: Interne SharePoint-Administrationsaktivitäten können ToolPane.aspx aufrufen; Korrelation mit anomalem Referrer-Header und PowerShell-Spawn reduziert das Rauschen erheblich.

Partnerlösungen von Damovo für Detection

Die folgenden Damovo-Partner bieten Produkte, Plattformen oder Tools an, die bei ordnungsgemäßer Bereitstellung und Konfiguration dazu beitragen können, die aktive Ausnutzung der Microsoft SharePoint-Schwachstellen zu erkennen.

Anleitung zur Schadensbegrenzung & Patching

Nicht jede Organisation kann aus einer Vielzahl von Gründen sofort alle Server patchen. Die folgende Anleitung zur Schadensbegrenzung und zum Patchen sollen Ihnen dabei helfen, einen stufenweisen Ansatz zum Schutz Ihres Unternehmens zu entwickeln.

Anleitung zur Schadenbegrenzung

Die folgenden Damovo-Partner bieten Produkte, Plattformen oder Tools an, die bei ordnungsgemäßer Bereitstellung und Konfiguration dazu beitragen können, die aktive Ausnutzung der Microsoft SharePoint-Schwachstellen zu verhindern, während Sie ausreichend Zeit für das Patchen Ihrer Server einplanen.

Anleitung zum Patchen

Wenden Sie die Sicherheitsupdates vom Juli 2025 KB5002768 (Subscription), KB5002754 (2019) und KB5002753 (2016) so schnell wie möglich durch Ihr IT- oder Infrastrukturteam an. Wie bei jedem Patch empfehlen wir dringend, den Patch auf einem Staging-System zu testen, um die Kompatibilität mit miteinander verbundenen Systemen sicherzustellen.

Rollback-Plan: Erstellen Sie einen Snapshot der VM vor dem Patch; deinstallieren Sie über Systemsteuerung → Installierte Updates, falls eine Regression auftritt.

Nach der Anwendung der neuesten Sicherheitsupdates (oder der Aktivierung von AMSI) müssen Sie die ASP.NET-Maschinenschlüssel der SharePoint-Server drehen und die Internetinformationsdienste (IIS) auf allen SharePoint-Servern neu starten. Sie können dies manuell mit der PowerShell oder mit Central Admin tun : Lösen Sie den Timer-Job für die Rotation der Maschinenschlüssel aus:

• Navigieren Sie zur Website Central Administration.
• Gehen Sie zu Monitoring -> Review job definition.
• Suchen Sie nach Machine Key Rotation Job und wählen Sie Run Now.

Schließlich müssen Sie den IIS auf allen SharePoint-Servern mit iisreset.exe neu starten.

Fazit & Nächste Schritte

Die schnelle Ausnutzung der ToolShell-Schwachstellen durch Storm-2603 zeigt, wie rasch Zero-Days in großflächige Ransomware-Kampagnen übergehen. Die Dringlichkeit von Patches, präzise Erkennungslogik und eine rigorose Planung der Incident Response sind daher für EU-Unternehmen, die NIS2- oder DORA-Konformität und operationale Resilienz unterliegen, nicht verhandelbar.

Führungskräfte sollten diesen Beitrag heute an ihre SOC-Leader weiterleiten und eine sofortige Überprüfung der SharePoint-Exposition, der Telemetrieabdeckung und des Patch-Status anordnen. Wir empfehlen Ihnen außerdem, den Blog-Beitrag von Microsoft "Disrupting active exploitation of on-premises SharePoint vulnerabilities"(Unterbrechung der aktiven Ausnutzung von SharePoint-Schwachstellen vor Ort) weiter zu verfolgen, um Updates zu erhalten.

Selbst wenn Cybersecurity-Teams glauben, Patches und Kontrollen ordnungsgemäß implementiert zu haben, stellen wir häufig fest, dass kritische Systeme weiterhin anfällig für Angriffe sind.

Unsere Sicherheitsexperten empfehlen einen umfassenden Ansatz, der über das reine Patchen hinausgeht, durch eine gründliche Validierung mittels offensiver Sicherheitstests und Bewertungen der Abwehrbereitschaft. Dieser duale Ansatz stellt sicher, dass Schutzmaßnahmen nicht nur korrekt installiert sind, sondern auch unter realen Bedingungen effektiv funktionieren.

Durch die Kombination von fachkundiger Implementierung und strenger Validierung können Unternehmen echten Schutz statt falscher Sicherheit erlangen. Unser Team ist sowohl auf die Implementierung von Sicherheitsmaßnahmen als auch auf die Überprüfung ihrer Wirksamkeit spezialisiert und bietet so die Sicherheit, die sich aus bewährten, getesteten Schutzmaßnahmen ergibt.

Wenn Sie Fragen haben oder Unterstützung bei der Beseitigung dieser oder anderer Schwachstellen benötigen, vereinbaren Sie bitte einen dringenden Beratungstermin mit den Sicherheitsexperten von Damovo.