A exploração do conjunto de vulnerabilidades ToolShell está facilitando ataques ao SharePoint

Em julho de 2025, a Microsoft confirmou que um conjunto de vulnerabilidades zero-day no SharePoint Server, chamado ToolShell, está sendo explorado ativamente. O ToolShell é composto pelas falhas CVE-2025-53770, uma vulnerabilidade de execução remota de código, e CVE-2025-53771, uma vulnerabilidade de falsificação de servidor. Esses ataques têm como alvo servidores Microsoft SharePoint instalados localmente, especialmente aqueles que rodam as versões SharePoint Subscription Edition, SharePoint 2019 ou SharePoint 2016. O SharePoint Online, incluído no Microsoft 365, não é afetado. A exploração dessas vulnerabilidades permite que cibercriminosos acessem sistemas restritos e roubem informações sensíveis.

A partir de 17 de julho, o ToolShell passou a ser amplamente explorado por diferentes tipos de cibercriminosos, desde golpistas até grupos APT patrocinados por países. Como o SharePoint é integrado a outros serviços da Microsoft, como Office, Teams, OneDrive e Outlook, uma invasão pode conceder aos cibercriminosos um nível impressionante de acesso à rede afetada.

Durante esses ataques, os criminosos frequentemente encadeiam quatro vulnerabilidades: as já corrigidas CVE-2025-49704 e CVE-2025-49706, juntamente com as mencionadas CVE-2025-53770 e CVE-2025-53771. Desde 22 de julho, as falhas CVE-2025-53770 e CVE-2025-53771 também já receberam correções.

Payloads de Webshell

A exploração do ToolShell permite que os cibercriminosos contornem a autenticação multifator (MFA) e o login único (SSO). Após obter acesso ao servidor alvo, os invasores foram vistos implantando webshells maliciosos para extrair informações do sistema comprometido. Um dos scripts usados com frequência para esse fim é chamado spinstall0.aspx, que monitoramos como MSIL/Webshell.JS.

Além disso, em 22 de julho de 2025, observamos que os cibercriminosos tentaram implantar outros webshells ASP simples, capazes de executar comandos fornecidos pelos invasores via cmd.exe. Esses webshells foram instalados com os seguintes nomes de arquivos: ghostfile346.aspx, ghostfile399.aspx, ghostfile807.aspx, ghostfile972.aspx e ghostfile913.aspx.

Os produtos ESET detectaram pela primeira vez uma tentativa de exploração da vulnerabilidade Sharepoint/Exploit.CVE-2025-49704 em 17 de julho, na Alemanha. No entanto, como essa tentativa foi bloqueada, o payload final do webshell não chegou a ser entregue ao sistema alvo. O primeiro registro do payload em si foi em 18 de julho, em um servidor na Itália. Como mostrado na Imagem 1, desde então observamos a exploração ativa do ToolShell em todo o mundo, com os Estados Unidos (13,3% dos ataques) sendo o país mais visado, segundo nossos dados de telemetria.

Monitoramento dos ataques

Nosso monitoramento dos ataques ToolShell, entre 17 e 22 de julho, revelou que eles estavam sendo realizados a partir dos endereços IP apresentados na Tabela 1 (todos os horários estão em UTC).

Tabela 1. Endereços IP dos cibercriminosos.

A Imagem 2 mostra a linha do tempo dos ataques originados pelos três endereços IP mais ativos.

De forma preocupante, a Microsoft relatou que diversos cibercriminosos ligados à China também passaram a explorar essas vulnerabilidades. Do nosso lado, detectamos um backdoor associado ao LuckyMouse, um grupo de ciberespionagem que tem como alvo principal governos, empresas de telecomunicações e organizações internacionais, em uma máquina no Vietnã comprometida via ToolShell. Neste momento, não está claro se o sistema já havia sido comprometido anteriormente ou se o backdoor foi inserido durante o ataque atual.

Mesmo assim, os grupos APT ligados à China certamente aproveitaram a oportunidade para adicionar essa cadeia de exploração aos seus arsenais. De acordo com nossos dados de telemetria, as vítimas dos ataques ToolShell incluem diversas organizações governamentais de alto valor, que já são alvos frequentes desses grupos.

Agora que a vulnerabilidade já se tornou pública, é provável que muitos outros cibercriminosos oportunistas tentem explorar sistemas que ainda não foram atualizados. As tentativas de exploração continuam em andamento e certamente vão persistir. Por isso, se você utiliza o SharePoint Server, recomenda-se (de acordo com as orientações da Microsoft):

• Utilizar apenas versões com suporte;
• Aplicar as atualizações de segurança mais recentes;
• Garantir de que a Antimalware Scan Interface esteja ativada e configurada corretamente, com uma solução de cibersegurança adequada;
• Realizar a rotação das machine keys ASP.NET do SharePoint Server.

Indicadores de Comprometimento

Uma lista completa de indicadores de comprometimento (IoCs) e amostras pode ser encontrada em nosso repositório no GitHub.

Arquivos

Rede

Técnicas MITRE ATT&CK

Esta tabela foi construída utilizando a versão 17 do framework MITRE ATT&CK.