Un buffet de todo lo que pueda comer para actores de amenaza

ESET Research ha estado monitoreando ataques que involucran las vulnerabilidades de día cero de Shell recientemente descubierto

24 de julio de 2025
•
,
5 min. leer

El 19 de julio^th2025, Microsoft confirmó que un conjunto de vulnerabilidades de día cero en SharePoint Server llamado Toolshell se está explotando en la naturaleza. Toolshell está compuesta por CVE-2025-53770, una vulnerabilidad de ejecución de código remoto y CVE-2025‑53771, un servidor que falsifica la vulnerabilidad. Estos ataques apuntan a los servidores de SharePoint en las instalaciones de Microsoft, específicamente aquellos que ejecutan la edición de suscripción de SharePoint, SharePoint 2019 o SharePoint 2016. SharePoint Online en Microsoft 365 no se ve afectado. La explotación de estas vulnerabilidades permite a los actores de amenaza ingresar a los sistemas restringidos y robar información confidencial.

A partir del 17 de julio^thLa cáscara de herramientas ha sido ampliamente explotada por todo tipo de actores de amenazas, desde pequeños ciberdelincuentes hasta grupos aptos de estado-nación. Dado que SharePoint está integrado con otros servicios de Microsoft, como Office, Teams, OneDrive y Outlook, este compromiso puede proporcionar a los atacantes un asombroso nivel de acceso en la red afectada.

Como parte del ataque, los actores de amenaza a menudo encadenan cuatro vulnerabilidades: el CVE-2025‑49704 y CVE-2025-49706 previamente parcheado, junto con el CVE-2025-53770 y CVE-2025-53771 ya mencionado. Al 22 de julio, CVE-2025‑53770 y CVE-2025-53771 también han sido reparados.

Cargas útiles

La explotación de herramientas permite a los atacantes omitir la autenticación multifactor (MFA) y el inicio de sesión único (SSO). Después de entrar en el servidor objetivo, se vio a los atacantes implementando webshells maliciosas para extraer información del sistema comprometido. Se nombra uno de los scripts utilizados con frecuencia para este propósito spinstall0.aspxque rastreamos como MSIL/WebShell.js.

Además, el 22 de julio^{Dakota del Norte}2025, observamos que los atacantes intentaron implementar otras redes web de ASP simples capaces de ejecutar comandos proporcionados por los atacantes a través de cmd.exe. Estas redes web se implementaron utilizando los siguientes nombres de archivo: Ghostfile346.aspx, Ghostfile399.aspx, Ghostfile807.aspx, Ghostfile972.aspxy GhostFile913.aspx.

ESET Products primero detectó un intento de explotar parte de la cadena de ejecución, la vulnerabilidad de SharePoint/Exploit.CVE-2025-49704-el 17 de julio^th en Alemania. Sin embargo, debido a que este intento fue bloqueado, la carga útil final de WebShell no se entregó al sistema objetivo. La primera vez que registramos la carga útil en sí fue el 18 de julio.^th en un servidor en Italia. Como se ve en la Figura 1, desde entonces hemos observado la explotación activa de la costa de herramientas en todo el mundo, siendo Estados Unidos (13.3% de los ataques) el país más dirigido según nuestros datos de telemetría.

Monitoreo de ataques

Nuestro monitoreo de los ataques de cellina de herramientas desde el 17 de julio^th al 22 de julio^{Dakota del Norte} reveló que provenían de las direcciones IP que se muestran en la Tabla 1 (todos los tiempos están en UTC).

Tabla 1. Direcciones IP del atacante

La Figura 2 muestra la línea de tiempo de los ataques provenientes de las tres direcciones IP más activas.

Con respecto, Microsoft ha informado que varios actores de amenaza alineados en China se han unido a los intentos de explotación. Desde nuestro lado, detectamos una puerta trasera asociada con Luckymouse, un grupo cibernético que se dirige principalmente a gobiernos, compañías de telecomunicaciones y organizaciones internacionales, en una máquina en Vietnam dirigida a través de herramientas. En esta etapa, no está claro si el sistema se había comprometido previamente o si la puerta trasera se introdujo durante el ataque actual.

Sin embargo, los grupos APT alineados por China ciertamente han aprovechado la oportunidad para agregar la cadena de exploit a sus arsenales: según nuestra telemetría, las víctimas de los ataques de la cáscara de herramientas incluyen varias organizaciones gubernamentales de alto valor que han sido objetivos de larga data de estos grupos.

Dado que el gato está fuera de la bolsa ahora, esperamos que muchos más atacantes oportunistas aprovechen los sistemas sin parpadear. Los intentos de exploit están en curso y seguramente continuarán. Por lo tanto, si está utilizando SharePoint Server, se recomienda lo siguiente (según la guía de Microsoft):

• Use solo versiones compatibles,
• Aplicar las últimas actualizaciones de seguridad,
• Asegúrese de que la interfaz de escaneo de antimalware esté activada y configurada correctamente, con una solución de seguridad cibernética adecuada, y
• Gire las claves de la máquina ASP.NET del servidor SharePoint.

Para cualquier consulta sobre nuestra investigación publicada sobre Welives -Curity, comuníquese con nosotros en amenaza a amenazas@eset.com.

ESET Research ofrece informes privados de inteligencia APT y feeds de datos. Para cualquier consulta sobre este servicio, visite la página de inteligencia de amenazas ESET.

COI

Se puede encontrar una lista completa de indicadores de compromiso (COI) y muestras en nuestro repositorio de GitHub.

Archivos

Red

MITOR QUE Y CK TECNORAS

Esta tabla fue construida utilizando la versión 17 del marco Mitre ATT & CK.