Aeth🌹 retweetledi
🚨🌍 CYBERALERT MONDIALE 🔴 | ⚡Tempête critique sur Microsoft SharePoint - +8000 organisations menacées !
Depuis ce week-end, une vague d’attaques -tjrs en cours et massive- cible les serveurs SharePoint On-Premise dans le monde entier.
Voici quoi retenir en 7 points :
1️⃣ Qu’est-ce qui se passe ?
Il s'agit de 2 failles critiques -CVE-2025-53770 (CVSS 9.8) & CVE-2025-53771- exploitables uniquement sur les serveurs SharePoint On-Premise
Le vecteur d'attaque, baptisé "ToolShell", est une exécution de code à distance -RCE- sans authentification rendue possible par la désérialisation de données ASP.NET
C'est +8,000 serveurs analysés et déjà +sieurs dizaines compromis, toutes industries confondues...
2️⃣ Qui est en danger ?
Sont concernés : SharePoint Server 2016, 2019 et Subscription Edition - pas SharePoint Online/M365
Les 1ères victimes touchent massivement l'Europe, mais le phénomène est global et s'amplifie d'heure en heure.
3️⃣ Anatomie de la cyberattaque
Les attaquants utilisent la désérialisation pour voler les clés ASP.NET du serveur (ValidationKey & DecryptionKey)
Avec celles-ci, ils créent de faux objets ViewState signés, exécutent du code, se maintiennent sur le serveur, et se latéralisent – sans laisser de traces évidentes...
L'accès à votre serveur ne requiert aucune authentification, ce qui complexifie la détection et la réponse.
4️⃣ Situation actuelle & modus operandi
De nombreux scripts d'exploitation/PoC circulent depuis des heures et accélèrent la vague d'attaques
La liste des +8000 serveurs vulnérables circule gratuitement
Des IoCs partagés dont un webshell -spinstall0.aspx- employé pour extraire silencieusement les clés applicatives
+sieurs CERTs, CertFR, CISA, NCSC, ... tirent la sonnette d'alarme face à la prolifération exponentielle
5️⃣ Comment se protéger IMMÉDIATEMENT ?
Appliquez les correctifs MSRC pour SharePoint 2019 & Subscription Edition
Il n'y aucun patch disponible pour SharePoint 2016 à date
Activez l’AMSI (AntiMalware Scan Interface)
Déployez une solution EDR
Isolez sans délai les serveurs vulnérables du réseau internet/public.
Réinitialisez vos clés ASP.NET (ValidationKey et DecryptionKey) si suspicion de compromission
Inspectez les fichiers suspects sur vos serveurs avec du Threat Hunting
6️⃣ Points critiques à surveiller
Exploitation tjrs en cours, nouveaux scénarii et variantes dans les heures à venir
Les attaques sont rapides, (souvent) indétectées avant élevation des privilèges.
Backdoors & persistance fréquemment observées dès la première heure.
7️⃣ A FAIRE
Auditez, patcher, segmentez vos infras sans délai
Alertez vos équipes techniques, mettez en place une cellule de crise cyber (au besoin)
Consultez les bulletins Eye Security & MSRC pour IOCs et + de recos.
Analysez vos logs et réalisez un scan d’intégrité sur la période du 15 au 21 juillet 2025.
Communiquez à vos parties prenantes et partenaires IT.
➡️ la vague ne fait que commencer...
GIF
Français
