SharePoint On‑Prem תחת מתקפה: ToolShell – האם גם אתם נפגעתם?

מתקפת הסייבר "ToolShell" (המנצלת את הפגיעויות CVE-2025-53770 ו-CVE-2025-53771) מכוונת באופן פעיל נגד שרתי Microsoft SharePoint מקומיים (On-Premises). המתקפה מאפשרת לתוקפים לא מאומתים להשתלט על השרת, לגנוב מידע רגיש, ובחמור מכל – להתבסס ברשת הארגונית לטווח ארוך באמצעות גניבת מפתחות הצפנה.

אם הארגון שלכם מפעיל שרתי SharePoint מקומיים שהיו חשופים לאינטרנט, יש לפעול מתוך הנחה שהם כנראה נפגעו.

איך תדעו אם נפגעתם? המזהים העיקריים (IOCs) שיש לבדוק מיידית:
1. בדיקת לוגים (IIS Logs):
    1.1 דפוס הפריצה הראשוני: חפשו בקשות POST לנתיב /_layouts/15/ToolPane.aspx שהגיעו עם Referer"       header" המכיל /_layouts/SignOut.aspx.
    שילוב זה הוא אינדיקטור חזק מאוד לניסיון פריצה.


    1.2 גישה לקבצים זדוניים: בדקו בקשות GET לקבצים חשודים בנתיב /_layouts/15/, ובמיוחד לקבצים בשם spinstall0.aspx או ghostfile*.aspx.

2. בדיקת מערכת הקבצים:
חיפוש קבצי Webshell: סרקו את שרתי ה-SharePoint לאיתור קבצי aspx זדוניים, בעיקר בנתיב: C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\. חפשו במיוחד את הקובץ spinstall0.aspx.

3. בדיקת תהליכים חשודים :
שרשרת תהליכים חריגה: אם יש לכם EDR נסו לבצע threat hunting, זהו אינדיקטור חשוב ביותר, גם נגד מתקפות ללא קבצים (fileless). חפשו אחר שרשרת תהליכים חריגה: תהליך w3wp.exe (ה-Worker של IIS) שמייצר תהליך בן של cmd.exe, אשר בתורו מייצר תהליך powershell.exe. זוהי התנהגות חשודה ביותר בהקשר של SharePoint.

שימו לב !
התקנת עדכון אבטחה בלבד אינה מספיקה. אם התוקפים הצליחו לגנוב את מפתחות ההצפנה של השרת (MachineKeys), הם שומרים על גישה מתמשכת גם לאחר העדכון.
לאחר התקנת העדכון, חובה לבצע החלפה (Rotation) של כל מפתחות ה-ASP.NET MachineKeys ולאתחל את שירותי ה-IIS כדי לנטרל את האיום לחלוטין ולשלול מהתוקפים את הגישה.

בנוסף מרבית היצרנים מציעים היום מיטגציה לפגיעות באמצעות חתימות IPS ומוצרים בסגנון של Virtual Patching , אם יש לכם כאלה וודאו שהם פעילים, זה בטוח לא יזיק.

תגובות

הוסף רשומת תגובה

פוסטים פופולריים מהבלוג הזה

מילון מושגים – אבטחת מידע וסייבר חלק ב

 בהמשך לפוסט הקודם  מושגים חלק א    מתקפת אדם באמצע ( Man in the middle ) – מתקפה בה התוקף יהיה בין המחשב המותקף לאתר הלגיטימי ויאזין למידע שעובר , כמו האזנה בלתי חוקית לשיחת טלפון ע"י גורם שלישי . רשתות בוט ( Botnet ) – רשת שמורכבת ממחשבים שתוקפים השיגו עליהם שליטה , ודרכם הם יכולים להוציא לפועל מתקפות אחרת (לדוגמא ממתקפת DDOS ) .   מתקפת מניעת שרות ( DDOS Attack ) – מתקפה בה התוקף משתמש בד"כ במחשבים שהוא השיג אליהם גישה (רשתות BOT ) על מנת ליצור עומס תעבורה חריג על אתר מסוים ולגרום לו לקרוס מהעומס שמופעל עליו .         מתקפת התקן אחסון (Usb Atack \ USB Dropping) - מתקפה שבה תוקף , מעביר התקן אחסון נייד למשתמש בין עם ע"י העברה ישירה לעובד בהתחזות לספק או מישהו לגיטימי , או ע"י "זריקת" ההתקן בחברה , ולחכות שעובד סקרן ימצא את ההתקן ויחבר אותו למחשב על מנת לבדוק את תכולתו, לאחר החיבור ההתקן יבצע באופן אוטומטי פעולה זדונית. proxy (שרת מתווך)– משמש כשרת ביניים  , בין המשתמש לבין האינטרנט או אפליקציה מסוימת , משתמשי...
המשך לקרוא

מדיה נתיקה - התקפות USB

השקענו הרבה כסף , תכנון ומחשבה , ביצענו סינון על תעבורת האינטרנט בארגון , יישמנו שכבות הגנה על הדוא"ל שלנו , התקנו תוכנת הגנה בתחנת קצה , אז איך בכל זאת הארגון יכול להינזק גם אם זה דרך מתקפה מתוכננת או בתמימות וטעות של אחד העובדים ?                    מדיה נתיקה ניידת , או כפי שכולנו מכנים אותה   DOK- Disk On Key . אז מה הסכנות הנפוצות  בשימוש ב DOK ? הכנסת וירוסים לארגון – וירוס שמתפשט דרך הכנסה של התקן נייד ומתפשט בכל הרשת ,יכול להיות מהרבה סוגים , כופרה ,תולעת , נוזקה שפותחת חיבור לאינטרנט להאקרים וכו' .                        תוכנה זדונית לגניבת מידע בסביבות מנותקות מאינטרנט – התגלה בעבר וירוס שכונה גנב ה USB , דרך הכנסה של DOK שממנו רץ כלי זדוני שגנב מידע חזרה ל DOK , בחיבור הבא למחשב בעל גישה לאינטרנט המידע הועבר לתוקפים .                         תוכנה זדונית לשיבוש מערכות ייצור ...
המשך לקרוא

ניטור שרתי קבצים

  לאחרונה אנו עדים ליותר ויותר מתקפות סייבר על ארגונים . במרבית מהמתקפות ניתן לראות שהתוצאה הסופית מביאה איתה נזק בשני מישורים : 1.       התקפת כופר – הצפנה קבצים , שרתים   ותחנות עבודה של הארגון - השבתת הפעילות של הארגון ודרישת כופר על מנת לשחרר את הקבצים כדי לחזור לעבוד . 2.       דלף מידע – לפניי ההצפנה התוקפים מעבירים אליהם את הקבצים ומציעים אותם למכירה ברשת האפלה או מבקשים תשלום על מנת לא להדליף את המידע . ברוב הארגונים קיים שרת קבצים שמחולק לספריות , בדרך כלל לפי נושאים ו\או מחלקות . ברוב הארגונים הבינונים \ קטנים לא מנטרים את שרת הקבצים . ניטור כזה יכול לעזור הרבה לארגון ! א.         הניטור מהווה זוג עיניים , מי ניגש לקבצים , קרא , שינה , העתיק וכו' ב.       הניטור יכול להעיד על ניסיונות גישה לא מוצלחים , ניסיונות של עובד לגשת למידע שאין לו הרשאה וכו' ג.        הניטור יכול להצביע על אנומליה ברשת.   בהקשר של אנומ...
המשך לקרוא