Kurzzusammenfassung: Das DART (Detection and Response Team von Microsoft) hat einen Bericht über einen Ransomware-Angriff untersucht und veröffentlicht, der aktiv auf internetgestützte, lokal betriebene SharePoint-Server abzielte. Im Rahmen der Untersuchung wurde festgestellt, dass ein zweiter Angreifer gleichzeitig in denselben Umgebungen aktiv war, was auf eine Überschneidung der Angriffskampagnen hindeutet.
Was ist passiert?
Eine als „Storm-2603“ bezeichnete, in China ansässige Hackergruppe greift seit (mindestens) Mitte 2025 SharePoint-Server an. Bei dem Angriff wurden zwei bekannte Sicherheitslücken ausgenutzt:
- CVE-2025-49706: Eine fehlerhafte Authentifizierung in Microsoft Office SharePoint ermöglicht es Angreifern, über ein Netzwerk Spoofing-Angriffe durchzuführen
- CVE-2025-49704: Code-Injektion in Microsoft Office SharePoint, die es Angreifern ermöglicht, Code über ein Netzwerk auszuführen
Nach dem Eindringen suchte Storm-2603 im Rahmen von Erkundungsaktivitäten nach weiteren Einfallstoren, unter anderem durch Abfragen nach sensiblen Konfigurationsdateien. In diesem Fall handelte es sich um „win.ini“ und „web.config“.
Der Angriff wurde in drei Phasen durchgeführt:
1. Die Gruppe nutzte „Velociraptor“ mit Berechtigungen auf SYSTEM-Ebene, um die Umgebung zu kartieren, und vermischte dabei bewusst böswillige Aktivitäten mit vertrauenswürdigem administrativem Verhalten.
2. Der Fernzugriff wurde anschließend über mehrere Kanäle hergestellt: Cloudflare-Tunneling, Zoho Assist und über Visual Studio Code konfigurierte SSH-Verbindungen.
3. Anschließend erfolgte eine Erweiterung der Berechtigungen, wobei neue lokale und Domänenadministratorkonten angelegt wurden, um den Zugriff aufrechtzuerhalten.
Im Zuge der Ermittlungen von DART wurde ein zweiter, davon unabhängiger Angreifer aufgedeckt, der parallel dazu aktiv war. Dieser Angreifer nutzte zwei Techniken, die nicht mit Storm-2603 in Verbindung stehen.
- DLL-Side-Loading, um schädlichen Code in legitime Windows-Systemdateien einzuschleusen, sodass dieser unter dem Deckmantel eines vertrauenswürdigen Prozesses ausgeführt wird
- Maßgeschneiderte Hintertüren; speziell entwickelte Tools, die darauf ausgelegt sind, einen verborgenen Zugriff aufrechtzuerhalten, den herkömmliche Sicherheitstools wahrscheinlich nicht erkennen
Beide Techniken sind darauf ausgelegt, die Präsenz des zweiten Akteurs zu verschleiern. Zum Zeitpunkt der Erstellung dieses Artikels ist der zweite Akteur noch nicht identifiziert worden.
Schon ein einziger Angreifer, der sich Zugang verschafft, ist schlimm genug.
Dass zwei Akteure unabhängig voneinander in derselben kompromittierten Umgebung agieren, ist ein ganz anderes Problem, das darauf hindeutet, dass in dem Moment, in dem eine Sicherheitslücke bekannt wird, mehrere Angreifer darum wetteifern werden, diese auszunutzen. Storm-2603 mag zwar die erste Gruppe gewesen sein, die die beiden CVEs ausgenutzt hat, aber sie war nicht die letzte; und sie wird mit ziemlicher Sicherheit auch in Zukunft nicht die einzige Gruppe sein.
Der Bericht bestätigt nicht, dass die beiden Akteure miteinander in Verbindung standen oder sich abstimmten. Doch ob absichtlich oder nicht – sie haben sich gegenseitig durch zwei Arten böswilliger Aktivitäten verschleiert, die in derselben Umgebung übereinanderlagern.
Wer ist betroffen?
Laut dem Bericht von Microsoft waren mindestens zwei Organisationen von dem Angriff betroffen. Forensische Hinweise auf eine laterale Bewegung führten dazu, dass DART ein zweites Opfer identifizierte und kontaktierte, bei dem bestätigt wurde, dass es von derselben Ransomware-Aktivität betroffen war wie das erste.
Bislang wurden noch keine weiteren Organisationen als betroffen bestätigt.
Jede Organisation, die SharePoint-Server vor Ort betreibt und die Sicherheitsupdates von Microsoft für CVE-2025-49706 und CVE-2025-49704 noch nicht installiert hat, ist jedoch weiterhin demselben Angriffsvektor ausgesetzt.
Empfehlungen von Microsoft
In ihrem Bericht empfahl DART eine Reihe von Abhilfemaßnahmen und Sicherheitsrichtlinien, die die gesamte Angriffsfläche abdecken, die Storm-2603 ausgenutzt hat. Unternehmen, die SharePoint-Server vor Ort betreiben, sollten die folgenden Maßnahmen als Mindeststandard betrachten.
- Installieren Sie Patches für Systeme mit Internetanbindung umgehend und legen Sie dabei den Schwerpunkt auf kritische Infrastrukturen.
- Richten Sie einen kontinuierlichen Prozess zur Erkennung, Bewertung und Behebung von Schwachstellen ein. Stellen Sie sicher, dass Updates installiert wurden.
- Behandeln Sie Identitäten mit hohen Berechtigungen als primäre Angriffsfläche: Setzen Sie strenge Identitätskontrollen durch und überwachen Sie privilegierte Anmeldungen.
- Führen Sie bedingten Zugriff und Identitätsschutz ein, um ungewöhnliche Authentifizierungsaktivitäten frühzeitig zu erkennen
- Endpoint-Schutzlösungen in der gesamten Umgebung bereitstellen
- Telemetriedaten zentral speichern (beispielsweise in einem SIEM), um die Untersuchung, Korrelation und Rekonstruktion des zeitlichen Ablaufs zu unterstützen
- Führen Sie eine kontinuierliche Überwachung und eine langfristige Protokollspeicherung ein, um böswillige Aktivitäten aufzudecken und umfassende Untersuchungen zu ermöglichen.
- Alle verwendeten Fernverwaltungssoftwareprogramme, Tunneling-Dienstprogramme und Entwicklertools prüfen und genehmigen. Auf ungewöhnliche Nutzung überwachen
- Entwickeln Sie vordefinierte Leitfäden für die Reaktion auf Vorfälle, testen Sie diese regelmäßig und stellen Sie sicher, dass die Teams darauf vorbereitet sind, schnell zu handeln
- Stellen Sie sicher, dass kompromittierte Anmeldedaten, Geräte und Zugriffspfade rasch isoliert werden können, um die laterale Bewegung einzudämmen
Warum der Angriff schwer zu erkennen war
Die Angreifer gingen bei ihrem Einbruch methodisch vor: Sie wussten, welchen Tools die Sicherheitsteams vertrauen, welche Prozesse sich in das normale Verwaltungsverhalten einfügen und wie sie sich länger verbergen können.
Missbrauch legitimer Werkzeuge
Die Angreifer setzten bewusst Software ein, die von sich aus keine Sicherheitswarnungen auslöst. Velociraptor ist ein legitimes forensisches Tool; Cloudflare, Zoho Assist und Visual Studio Code sind allesamt weit verbreitete Anwendungen. Eine Antiviren-Engine, die nach bekannter Schadsoftware sucht, hätte keinen offensichtlichen Grund, diese zu markieren.
Aktive Deaktivierung von Endpoint
Dem Bericht zufolge hat der Angreifer einen anfälligen Treiber (NSecKrnl.sys) geladen, um den Arbeitsspeicher zu manipulieren und Endgeräteschutzmaßnahmen zu deaktivieren. Das bedeutet, dass Sicherheitstools aktiv außer Gefecht gesetzt wurden, bevor sie nachfolgende Aktivitäten erkennen konnten.
Spezifische Tarnung
Betrachtet man die von Microsoft aufgedeckten Aktivitäten, die in ihrem offiziellen Bericht beschrieben werden, so hat der zweite Akteur Schadcode in legitime Prozesse eingebettet. Durch diese Trojaner-Technik wurde der Code getarnt, wodurch er sich nur schwer von normalen Systemaktivitäten unterscheiden ließ.
Der Vorteil des Angreifers
Ein einzelner Angriff gibt noch keinen vollständigen Einblick in einen Sicherheitsvorfall. Daher sind das Installieren von Patches und das Weitermachen möglicherweise noch nicht das Ende der Storm-2603-Exploits.
Zwei Angreifer, die auf unterschiedlichen Wegen in dieselbe Umgebung eindringen – das bedeutet, dass eine einlagige Verteidigung von vornherein nicht ausreichen würde. Es bedeutet auch, dass es keine Möglichkeit gibt, abzuschätzen, wie viele andere Systeme derzeit bereits kompromittiert sind und sich ein Angreifer darin versteckt hält. Durch das Installieren von Patches wird die ausgenutzte Sicherheitslücke geschlossen, doch das hilft nichts gegen das, was möglicherweise bereits in Ihren SharePoint-Bibliotheken schlummert.
Was Sie selbst beeinflussen können, ist, dafür zu sorgen, dass Ihre darin enthaltenen Daten so schwer wie möglich zugänglich, zu verschieben und als Waffe einzusetzen sind.
Beginnen Sie mit MetaDefender Storage Security auf DateiebeneStorage Security bauen Sie darauf auf.
