Η κινεζικής προέλευσης ομάδα κυβερνοαπειλών Storm-2603 αξιοποίησε τις ευπάθειες ToolShell στο λογισμικό Microsoft SharePoint με σκοπό την εγκατάσταση ενός backdoor που παραμένει αποκλειστικά στη μνήμη RAM χωρίς να εγγράφει αρχεία στον δίσκο.
Στη συνέχεια, οι επιτιθέμενοι επιχείρησαν να εκτελέσουν το λυτρισμικό (ransomware) Warlock στο παραβιασμένο δίκτυο, στοχεύοντας τοπικό διακομιστή SharePoint, με την τελική φάση της επίθεσης να αποτρέπεται από το σύστημα ασφαλείας.
Storm-2603: Ο μηχανισμός εκμετάλλευσης και η αθέατη παρουσία στη μνήμη
Οι ευπάθειες ToolShell περιλαμβάνουν τα σφάλματα CVE-2025-53770 και CVE-2025-53771, τα οποία επιτρέπουν την απομακρυσμένη εκτέλεση κώδικα μέσω ειδικά διαμορφωμένων αιτημάτων ιστού. Σύμφωνα με την έκθεση της εταιρείας Kaspersky, η εισβολή ξεκίνησε με αναγνωριστικά αιτήματα και ακολούθησε η αποστολή αιτήματος που φόρτωσε ένα webshell απευθείας στη διεργασία w3wp.exe του IIS.
Το webshell λειτούργησε ως αρθρωτό πλαίσιο κώδικα C# και κατέγραψε έναν προσαρμοσμένο VirtualPathProvider, επιτρέποντας στο ASP.NET να υπηρετεί σελίδες χωρίς την ύπαρξη φυσικών αρχείων στον δίσκο. Η ενεργοποίηση του κακόβουλου κώδικα γινόταν μόνο όταν τα αιτήματα περιλάμβαναν συγκεκριμένο User-Agent, ενώ η επικοινωνία με τον διακομιστή ελέγχου κάλυπτε τα δεδομένα μέσω XOR κρυπτογράφησης. Για την απόκτηση δικαιωμάτων SYSTEM, χρησιμοποιήθηκε τεχνική EfsPotato μέσωNamed-Pipe.
Εγκατάσταση εργαλείων εμμονής και η απόπειρα λυτρισμικού
Μετά την αρχική πρόσβαση, η διεργασία του διακομιστή εγκατέστησε το νόμιμο εργαλείο εγκληματολογικής ανάλυσης Velociraptor (έκδοση 0.73.4.0) από εξωτερικό αποθηκευτικό χώρο. Μέσω αυτού, οι εισβολείς δημιούργησαν πολλαπλές εναλλακτικές διαδρομές πρόσβασης, όπως Zoho Assist, VS Code tunneling και Cloudflare Tunnel, διασφαλίζοντας την παραμονή τους στο σύστημα ακόμα και αν εντοπιζόταν το αρχικό webshell.
Στο τελικό στάδιο της επίθεσης, οι εισβολείς εισήγαγαν ένα ευάλωτο πρόγραμμα οδήγησης (rsndispot.sys) με σκοπό την απενεργοποίηση των συστημάτων προστασίας (τεχνική BYOVD) και επιχείρησαν να εκτελέσουν το ransomware Warlock. Η προσπάθεια κρυπτογράφησης απέτυχε, καθώς το λογισμικό προστασίας μπλόκαρε τη διεργασία πριν ξεκινήσει η αλλοίωση των αρχείων.
Συστάσεις για διαχειριστές συστημάτων
Για την αντιμετώπιση της απειλής, απαιτείται η άμεση εγκατάσταση των ενημερώσεων ασφαλείας της Microsoft για το SharePoint, η ανανέωση των εκτεθειμένων MachineKeys και ο προσεκτικός έλεγχος για υπολείμματα εμμονής. Παράλληλα, συνιστάται η παρακολούθηση της συμπεριφοράς της διεργασίας w3wp.exe, ο έλεγχος για νέες εγγραφές VirtualPathProvider και η ανάλυση των αρχείων καταγραφής της μνήμης και του IIS.
