Kritische Sicherheitslücke in Microsoft SharePoint: Hackerangriffe seit Juli 2025

LONDON (IT BOLTWISE) – Eine kürzlich aufgedeckte Sicherheitslücke in Microsoft SharePoint wird seit Juli 2025 von Hackern ausgenutzt, um kryptografische Schlüssel zu stehlen und dauerhaften Zugang zu Systemen zu erhalten.

Die Bedrohung durch eine kritische Sicherheitslücke in Microsoft SharePoint, die bereits seit Juli 2025 aktiv ausgenutzt wird, hat weltweit für Aufsehen gesorgt. Laut Berichten von Check Point Research wurden erste Angriffsversuche auf eine nicht näher benannte westliche Regierung beobachtet, wobei die Aktivitäten Mitte Juli 2025 deutlich zunahmen. Ziel der Angriffe sind Regierungs-, Telekommunikations- und Softwaresektoren in Nordamerika und Westeuropa. Die Angriffe gehen von drei verschiedenen IP-Adressen aus, von denen eine bereits mit der Ausnutzung von Sicherheitslücken in Ivanti Endpoint Manager Mobile (EPMM) in Verbindung gebracht wurde. Lotem Finkelstein, Direktor für Bedrohungsaufklärung bei Check Point Research, betont die Dringlichkeit der Bedrohung und rät Unternehmen, ihre Sicherheitssysteme umgehend zu aktualisieren. Die Angriffsvektoren nutzen die Sicherheitslücken CVE-2025-53770 und CVE-2025-49706 aus, um anfänglichen Zugang zu erlangen und Privilegien zu eskalieren. Diese Schwachstellen wurden von Microsoft im Juli 2025 gepatcht, doch die Angreifer haben Wege gefunden, die ursprünglichen Sicherheitsmaßnahmen zu umgehen. Die Schwachstelle CVE-2025-53770 betrifft die Deserialisierung von nicht vertrauenswürdigen Daten in Microsoft SharePoint Server, was Angreifern ermöglicht, ohne Authentifizierung beliebigen Code auszuführen. Dies wird durch den Einsatz bösartiger ASP.NET-Webshells erreicht, die kryptografische Schlüssel extrahieren. Diese gestohlenen Schlüssel werden genutzt, um bösartige __VIEWSTATE-Payloads zu erstellen und zu signieren, was den dauerhaften Zugang und die Ausführung beliebiger Befehle auf dem SharePoint-Server ermöglicht. Die Angriffe wurden in mehreren Ländern, darunter die USA, Kanada und Deutschland, beobachtet, was auf einen weit verbreiteten Missbrauch der Schwachstelle hindeutet. Die Sicherheitsfirma SentinelOne hat drei verschiedene Angriffscluster identifiziert, darunter staatlich ausgerichtete Bedrohungsakteure, die in der Frühphase der Ausnutzung aktiv sind. Die Ziele der Kampagnen umfassen Technologieberatung, Fertigung und kritische Infrastrukturen. Die Angriffe beginnen mit speziell gestalteten HTTP-POST-Anfragen an zugängliche SharePoint-Server, die versuchen, die Webshell spinstall0.aspx über PowerShell zu schreiben. Diese Webshell ist darauf ausgelegt, kryptografische Geheimnisse zu sammeln, die dann zur Fälschung von Authentifizierungs- oder Sitzungstoken verwendet werden können. Die Bedrohung durch diese Schwachstelle ist erheblich, da SharePoint-Server aufgrund der sensiblen Daten, die sie speichern, ein lukratives Ziel für Angreifer darstellen. Unternehmen wird dringend geraten, die bereitgestellten Sicherheitsupdates zu installieren, die Schlüssel zu rotieren und die Server neu zu starten, um das Risiko zu minimieren.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!