Microsoft verknüpft SharePoint-Exploits mit chinesischen Hackergruppen

LONDON (IT BOLTWISE) – Microsoft hat kürzlich die Ausnutzung von Sicherheitslücken in SharePoint-Servern mit drei chinesischen Hackergruppen in Verbindung gebracht. Diese Gruppen, bekannt als Linen Typhoon, Violet Typhoon und Storm-2603, nutzen Schwachstellen in SharePoint-Servern aus, um sich Zugang zu Unternehmensnetzwerken zu verschaffen.

Microsoft hat kürzlich bekannt gegeben, dass die Ausnutzung von Sicherheitslücken in SharePoint-Servern mit drei chinesischen Hackergruppen in Verbindung gebracht wird. Diese Gruppen, bekannt als Linen Typhoon, Violet Typhoon und Storm-2603, nutzen Schwachstellen in SharePoint-Servern aus, um sich Zugang zu Unternehmensnetzwerken zu verschaffen. Diese Bedrohung wurde erstmals am 7. Juli 2025 beobachtet und hat sich seitdem weiterentwickelt.

Die Sicherheitslücken betreffen insbesondere die On-Premises-Versionen von SharePoint und resultieren aus unvollständigen Patches für die Schwachstellen CVE-2025-49706 und CVE-2025-49704. Diese wurden durch die neuen CVE-Nummern CVE-2025-53771 und CVE-2025-53770 ersetzt, die die Umgehung der ursprünglichen Patches beschreiben. Die Angreifer nutzen diese Schwachstellen, um über POST-Anfragen an den ToolPane-Endpunkt eine Authentifizierungsumgehung und Remote-Code-Ausführung zu erreichen.

Die Bedrohungsakteure haben in den beobachteten Angriffen Webshells wie „spinstall0.aspx“ eingesetzt, um MachineKey-Daten zu stehlen. Diese Webshells ermöglichen es den Angreifern, tief in die Systeme einzudringen und sensible Daten zu exfiltrieren. Microsoft betont die Notwendigkeit, die neuesten Updates für SharePoint-Server zu installieren und zusätzliche Sicherheitsmaßnahmen wie die Rotation von ASP.NET-Maschinenschlüsseln und den Neustart von Internet Information Services (IIS) zu ergreifen.

Die Bedrohung durch diese Exploits wird durch die schnelle Verbreitung und Anpassung durch verschiedene Akteure verstärkt. Microsoft empfiehlt, Microsoft Defender für Endpoint oder ähnliche Sicherheitslösungen zu implementieren, um die Systeme zu schützen. Zudem sollten Antimalware Scan Interface (AMSI) und Microsoft Defender Antivirus aktiviert und in den Vollmodus konfiguriert werden, um eine umfassende Abwehr zu gewährleisten.

Die betroffenen Hackergruppen sind seit mehreren Jahren aktiv und haben in der Vergangenheit verschiedene Malware-Familien eingesetzt. Linen Typhoon, auch bekannt als APT27, ist seit 2012 aktiv und hat Malware wie SysUpdate und PlugX verwendet. Violet Typhoon, auch bekannt als APT31, ist seit 2015 aktiv und hat Angriffe auf die USA, Finnland und Tschechien durchgeführt. Storm-2603 hat in der Vergangenheit Warlock- und LockBit-Ransomware eingesetzt.

Die Bedrohung durch diese Exploits unterstreicht die Notwendigkeit für Unternehmen, ihre Sicherheitsmaßnahmen kontinuierlich zu überprüfen und zu aktualisieren. Ungepatchte Systeme sind ein leichtes Ziel für Angreifer, und die Implementierung von Sicherheitsupdates und -lösungen ist entscheidend, um die Integrität der IT-Infrastruktur zu gewährleisten.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!