Attacco hacker microsoft

Attacco hacker microsoft

Attacco hacker a Microsoft SharePoint: gravità, impatto e contromisure

Data dell’attacco: 21 luglio 2025 – Nelle ultime 24 ore, un attacco globale ha sfruttato una vulnerabilità zero-day critica nei server Microsoft SharePoint on‑premises (CVE‑2025‑53770), con potenziali impatti in numerosi Paesi, Italia inclusa.

1. Cosa è successo – Attacco hacker microsoft (riassunto tecnico)

La falla – soprannominata ToolShell – è una catena di exploit che sfrutta una combinazione di bug: CVE‑2025‑53770 (deserializzazione di dati non affidabili), concatenata con CVE‑2025‑49706 e CVE‑2025‑49704. Questi bug permettono esecuzione di codice remoto (RCE) senza autenticazione, attraverso un payload .aspx (es. spinstall0.aspx) in /layouts/, che estrae le chiavi ASP.NET MachineKey del server SharePoint .

Secondo Eye Security e SecurityWeek, la prima ondata d’attacco risale al 18 luglio (intorno alle 18:00 UTC), seguita da una seconda ondata attorno al 19 luglio (07:30 CET) .

2. Paesi, settori, e presenza in Italia

L’attacco è di portata globale:

• Stati Uniti: compromissioni confermate in almeno due agenzie federali e vari Stati; un’agenzia pubblica ha perso l’accesso ai repository SharePoint .
• Europa: governi di paesi come Spagna, agenzie UE e realtà in Olanda .
• America Latina: università brasiliane.
• Asia: un grosso operatore telecom è stato violato .
• Italia: non ci sono conferme ufficiali di compromissioni specifiche, ma vista l’adozione di SharePoint in PA e aziende italiane, il rischio di esposizione è molto concreto (server on-prem tipici).

3. Aziende e servizi colpiti

• Enti governativi statali e federali USA
• Agenzie europee e spagnole
• Università e centri di ricerca in Brasile e USA
• Aziende energetiche statunitensi
• Aziende telecom asiatiche

In Italia, la mancanza di conferme non significa nessuna implicazione: le best practice suggeriscono considerare ogni deployment on‑prem come potenzialmente vulnerabile.

4. Rischi concreti

Tecnici e pratici:

• Accesso remoto senza credenziali: permette l’upload del file spinstall0.aspx che ottiene la MachineKey del server.
• Persistenza invisibile: i backdoor non attivabili via reverse shell, ma capaci di esfiltrare dati e chiavi crittografiche .
• Furto credenziali e dati: documenti SharePoint, Outlook/Teams collegati, possibili movimenti laterali all’interno della rete interna .
• Recurrence attack: con MachineKey compromessa, si può ricreare il payload anche dopo patch o restart senza login.
• Interruzione operativa: in tre casi sono stati cancellati repository di documenti .

5. Come ha reagito Microsoft e le autorità

• Alert ufficiali: Microsoft e CISA hanno pubblicato advisory tecnici, riconosciuto lo sfruttamento in corso .
• Patch diffusa: rilasciate per SharePoint 2016, 2019 e Subscription Edition – versione 2016 build 16.0.5508.1000 e 2019 build 16.0.10417.20027 .
• Mitigazioni intermediate: AMSI attivo + Defender AV obbligatori; se non disponibili, disconnettere server esposti .
• Rotazione MachineKey e riavvio IIS: operazione obbligatoria post-patch per invalidare eventuali chiavi rubate .
• Indagini avviate: FBI, CISA, DOD Cyber Defense Command, e agenzie internazionali coordinano indagini e threat-hunting .

6. Indicazioni tecniche e threat hunting

IoC principali (da Eye Security & Ontinue):

• IP exploit: 107.191.58.76 (18 lug ore 18:06 UTC), 104.238.159.149 (19 lug ore 07:28 UTC), 96.9.125.147, 103.186.30.186 .
• Payload: file /_layouts/15/spinstall0.aspx con hash SHA256 92bb4d...a514 .
• Percorso exploit: POST su /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx; Referer header /_layouts/SignOut.aspx .

Script utili:

KQL per rilevare spawn strani da IIS:

DeviceProcessEvents
| where FileName == "w3wp.exe"
| where ProcessCommandLine has_any ("spinstall0.aspx","ToolPane.aspx")

Threat hunting con YARA: cercare spinstall0.aspx contenente metodo .ReadMachineKeys() oppure regex su MachineKey.

PowerShell per rotazione chiavi e restart IIS:

Add-PSSnapin Microsoft.SharePoint.PowerShell
$webApp = Get-SPWebApplication "http://yourSP"
$webApp.Farm.Services | where {$_.TypeName -eq "Microsoft SharePoint Foundation Web Application"} | ForEach {
    $_.ProcessIdentity.MachineKey = New-Guid
}
iisreset

7. Patch e difesa

Microsoft ha già rilasciato patch per SharePoint 2016, 2019 e Subscription Edition .
Best practice IR:

1. Test patch in ambiente staging prima dell’installazione.
2. Attivare “Full mode” su AMSI + Defender per endpoint/AV.
3. Rotazione MachineKey + riavvio IIS.
4. Scan forense dei log IIS/EDR a caccia di IoC, compromissioni e movimenti laterali.
5. Valutare compromissione completa, compromissione di certificati e secret.
6. Aggiornare policy firewall per limitare internet access alle console SharePoint.

Conclusione – Attacco hacker microsoft

L’attacco ToolShell dimostra quanto siano vulnerabili infrastrutture critiche on‑premise, anche in contesti aziendali altamente protetti. Deserializzazione incontrollata + exploit zero-day = vulnerabilità amplificata. La formazione in sicurezza IT è quindi cruciale: solo ingegneri e consulenti aggiornati possono difendersi efficacemente.

Invitiamo le aziende e i professionisti a seguire i corsi di Innovaformazione:

• Corso OWASP – Sicurezza Web App: immersione nelle debolezze OWASP Top10, deserializzazione sicura, threat modeling.
• Corso Kali Linux: pentesting, exploit development, gestione incidenti e threat hunting, strumenti Bounty e Red Team.

Con Innovaformazione farete un passo avanti nella strategia cyber defense, preparandovi a prevenire, rilevare e rispondere immediatamente a scenari come ToolShell.

(fonte) (fonte) (fonte)

Per altri articoli tecnici consigliamo di navigare sul nostro blog QUI.

INFO: info@innovaformazione.net – tel. 3471012275 (Dario Carrassi)