Sintesi rapida: il DART (Detection and Response Team di Microsoft) ha condotto un’indagine e pubblicato un rapporto su un attacco ransomware che prendeva di mira in modo mirato i server SharePoint on-premise esposti a Internet. Nel corso dell’indagine è stato individuato un secondo attore malintenzionato che operava contemporaneamente negli stessi ambienti, il che suggerisce una sovrapposizione tra le campagne di attacco.
Cosa è successo
Un attore malintenzionato identificato come Storm-2603, con sede in Cina, sta prendendo di mira i server SharePoint almeno dalla metà del 2025. L'attacco ha sfruttato due vulnerabilità note:
- CVE-2025-49706: un'autenticazione non corretta in Microsoft Office SharePoint consente agli aggressori di effettuare operazioni di spoofing su una rete
- CVE-2025-49704: iniezione di codice in Microsoft Office SharePoint, che consente agli aggressori di eseguire codice tramite una rete
Dopo l'intrusione, Storm-2603 ha cercato ulteriori punti di accesso attraverso attività di ricognizione, tra cui richieste di file di configurazione sensibili. In questo caso, win.ini e web.config.
L'attacco è stato condotto in tre fasi:
1. Il gruppo ha utilizzato Velociraptor con privilegi a livello di SISTEMA per mappare l'ambiente, mescolando deliberatamente attività dannose con comportamenti amministrativi affidabili.
2. L'accesso remoto è stato quindi stabilito tramite diversi canali: tunneling Cloudflare, Zoho Assist e connessioni SSH configurate tramite Visual Studio Code.
3. Ne è seguita un’escalation dei privilegi, con la creazione di nuovi account di amministratore locale e di dominio per mantenere l’accesso.
Nel corso delle indagini, il DART ha scoperto un secondo attore malintenzionato, non collegato al primo, che operava in parallelo. Questo attore utilizzava due tecniche non associate a Storm-2603.
- Caricamento laterale di DLL, per inserire codice dannoso all’interno di file di sistema legittimi di Windows, in modo che venga eseguito sotto la copertura di un processo attendibile
- Backdoor personalizzate; strumenti appositamente sviluppati per mantenere un accesso nascosto che gli strumenti di sicurezza standard difficilmente riescono a individuare
Entrambe le tecniche sono state progettate per garantire la segretezza, nascondendo la presenza del secondo attore. Al momento della stesura del presente documento, il secondo attore non è stato identificato.
Già il fatto che un solo hacker riesca a entrare è di per sé un problema.
Il fatto che due gruppi operino in modo indipendente nello stesso ambiente compromesso rappresenta un problema completamente diverso, il che suggerisce che, nel momento in cui una vulnerabilità viene resa nota, diversi attori malintenzionati si affretteranno a sfruttarla. Storm-2603 potrebbe essere stato il primo a sfruttare le due CVE, ma non è stato l’ultimo; e quasi certamente non sarà l’unico gruppo a farlo in futuro.
Il rapporto non conferma che i due attori fossero collegati o agissero in modo coordinato. Tuttavia, intenzionalmente o meno, si stavano mascherando a vicenda attraverso due serie di attività dannose sovrapposte nello stesso ambiente.
Chi è interessato
Secondo il rapporto di Microsoft, l’intrusione ha colpito almeno due organizzazioni. Le prove forensi relative al movimento laterale hanno permesso al DART di identificare e contattare una seconda vittima, per la quale è stato confermato che era stata compromessa dalla stessa attività di ransomware della prima.
Non sono state ancora confermate altre organizzazioni che siano state compromesse.
Tuttavia, qualsiasi organizzazione che utilizzi server SharePoint on-premise e che non abbia applicato gli aggiornamenti di sicurezza di Microsoft relativi ai CVE-2025-49706 e CVE-2025-49704 rimane esposta allo stesso vettore di attacco.
Raccomandazioni di Microsoft
Nel proprio rapporto, DART ha raccomandato una serie di misure correttive e politiche di sicurezza, volte a coprire l'intera superficie di attacco sfruttata da Storm-2603. Le organizzazioni che utilizzano server SharePoint on-premise dovrebbero considerare quanto segue come linea guida di base.
- Applicare tempestivamente le patch ai sistemi esposti a Internet, dando priorità alle infrastrutture critiche
- Istituire un processo continuo per identificare, valutare e correggere le vulnerabilità. Verificare che gli aggiornamenti siano stati applicati
- Considerare gli account con privilegi elevati come una superficie di attacco primaria: applicare controlli rigorosi sugli accessi e monitorare gli accessi con privilegi
- Implementare l'accesso condizionato e la protezione dell'identità per individuare tempestivamente attività di autenticazione anomale
- Implementare soluzioni di protezione degli endpoint in tutto l'ambiente
- Conservare i dati di telemetria a livello centrale (ad esempio, in un sistema SIEM) per facilitare le indagini, la correlazione e la ricostruzione della cronologia degli eventi
- Attuare un monitoraggio continuo e una conservazione a lungo termine dei registri per individuare attività dannose e consentire indagini approfondite
- Verificare e approvare tutti i software di gestione remota, le utility di tunneling e gli strumenti di sviluppo in uso. Monitorare eventuali utilizzi anomali
- Elaborare procedure predefinite di risposta agli incidenti, testarle regolarmente e assicurarsi che i team siano pronti ad agire rapidamente
- Assicurarsi che le credenziali, i dispositivi e i percorsi di accesso compromessi possano essere rapidamente isolati per limitare il movimento laterale
Perché l'attacco è stato difficile da individuare
Gli autori dell'attacco hanno agito in modo metodico durante l'intrusione, sapendo quali strumenti utilizzano i team di sicurezza, quali processi si confondono con le normali attività amministrative e come rimanere nascosti più a lungo.
Abuso di strumenti legittimi
Gli autori dell'attacco hanno deliberatamente utilizzato software che, per sua natura, non avrebbe attivato allarmi di sicurezza. Velociraptor è uno strumento forense legittimo; Cloudflare, Zoho Assist e Visual Studio Code sono tutte applicazioni ampiamente diffuse. Un motore antivirus che esegue la scansione alla ricerca di software dannoso noto non avrebbe alcun motivo evidente per segnalarle.
Disattivazione attiva delle Endpoint
Il rapporto afferma che l'autore dell'attacco ha caricato un driver vulnerabile (NSecKrnl.sys) per manomettere la memoria e disabilitare le protezioni degli endpoint. Ciò significa che gli strumenti di sicurezza sono stati attivamente neutralizzati prima che potessero rilevare le attività successive.
Mimetizzazione specifica
Analizzando le attività scoperte da Microsoft e descritte nel suo rapporto ufficiale, il secondo autore dell’attacco ha nascosto codice dannoso all’interno di processi legittimi. La tecnica del “cavallo di Troia” ha mascherato il codice, rendendo più difficile distinguerlo dalla normale attività di sistema.
Il vantaggio dell’attaccante
Un singolo attacco non basta a fornire un quadro completo di una violazione. Pertanto, applicare le patch e andare avanti potrebbe non significare la fine degli exploit di Storm-2603.
Due aggressori, che si sono infiltrati con due metodi diversi nello stesso ambiente, dimostrano che una difesa a singolo livello non sarebbe mai stata sufficiente. Ciò significa anche che non c’è modo di stimare quanti altri sistemi, in questo momento, siano già stati compromessi, con un attore all’interno che ha scelto di rimanere nascosto. L’applicazione delle patch chiude la falla che è stata sfruttata, ma non ha alcun effetto su ciò che potrebbe già trovarsi in stato latente nelle vostre librerie di SharePoint.
Quello che puoi fare è assicurarti che i dati in tuo possesso siano il più possibile difficili da raggiungere, spostare e utilizzare a fini dannosi.
Iniziate a livello di file con MetaDefender Storage Security procedete da lì.
