Angriffe auf Microsoft Sharepoint: Patchen ist nicht genug
Die aktuell beobachteten Angriffe auf SharePoint-Server nutzen eine bis 20. Juli 2025 unbekannte Lücke in lokalen Installationen von Microsoft Sharepoint aus (CVE-2025-53770). Da es bis vor Kurzem kein Update gab, mit dem man sich schützen konnte – es handelte sich um eine Zero-Day-Schwachstelle – konnten die Angreifer die verwundbaren Systeme nach Belieben übernehmen und sich dort einnisten. Dieses Problem wird auch durch das Einspielen der Patches nicht beseitigt; Angreifer könnten auch danach Zugriff auf den Sharepoint-Server und weitere Systeme haben.
Wir beschreiben, wie die Angreifer bei ihren bisherigen Angriffen vorgegangen sind, welche Spuren sie dabei hinterlassen haben und wie man die gezielt aufspüren kann, um sich Gewissheit zu verschaffen, ob das eigene Unternehmen betroffen ist. Anschließend geben wir Tipps für die gezielte Suche und Reinigung betroffener Systeme. Wer die Zusammenfassung überspringen möchte, liest direkt bei „Was Betroffene jetzt tun sollten“ weiter.
Was passiert ist
Angreifer nutzen eine Kombination mehrerer Schwachstellen aus, um ohne Authentifizierung beliebigen Code auf SharePoint-Servern auszuführen. Dabei wird über speziell präparierte HTTP-Anfragen eine ASPX-Webshell ins SharePoint-Dateisystem geschrieben, die anschließend für beliebige Befehlsausführung genutzt werden kann. Die bekannteste Kampagne nutzt eine Webshell mit dem Namen spinstall0.aspx. Daneben beschrieb Palo Alto Networks mindestens zwei weitere Exploit-Varianten – darunter Varianten mit leicht abgewandelten Namen, dem Einsatz von sleep() sowie dem Ablegen von Konfigurationsdaten in Dateien wie debug_dev.js.
Die ausgenutzte Schwachstelle betrifft ausschließlich On-Premises-Installationen von SharePoint. Cloud-basierte Varianten wie SharePoint Online (Microsoft 365) sind nicht betroffen. Warum diese nicht anfällig sind, ist derzeit nicht bekannt.
Florian Roth ist CTO der Nextron Systems GmbH. Er ist ein international renommierter Experte für das Aufspüren von fortgeschrittenen
Angreifern und Schöpfer des APT Scanners Thor. Roth ist besonders bekannt für seine Yara-Regeln; er hat aber zusammen mit Thomas Patzke auch das Sigma-Projekt für die Analyse von Logfiles gegründet.
Die Lage: Viele Systeme kompromittiert
Trotz der öffentlichen Warnungen sind weiterhin hunderte verwundbare SharePoint-Systeme im Internet erreichbar. Listen mit bereits kompromittierten Systemen zirkulieren in einschlägigen Kreisen – samt der zugehörigen Webshells, die öffentlich erreichbar und benutzbar sind. Es ist davon auszugehen, dass diese Systeme eher früher als später ungebetenen Besuch bekommen.
Bisher konzentrierten sich die Angriffe offenbar auf die Sektoren Regierungen, Bildung, Gesundheitswesen und Großunternehmen. Allerdings wurden auch bereits erste Proof-of-Concepts-Exploits der Schwachstelle veröffentlicht. Mit diesen ist das Ausnutzen der Lücken auch anderen Angreifergruppen möglich. Es ist damit zu rechnen, dass insbesondere Cybercrime-Banden auf den Zug aufspringen und die Angriffe in die Fläche tragen. Unverzügliches Patchen der Server ist deshalb unverzichtbar; nicht patchbare Server sollte man vom Internet trennen.
Da die Exploits bereits veröffentlicht wurden und in den einschlägigen Kreisen weiter gereicht werden, sehen wir keinen Sinn darin, diese wichtigen Informationen den Verteidigern vorzuenthalten.
Angriffs-Indikatoren (IoCs)
Die Angriffe erfolgen über einen POST-Request auf
/_layouts/15/ToolPane.aspx
mit einem HTTP-Referer-Header
/_layouts/SignOut.aspx
Dies sind stabile Anzeichen für einen erfolgten Angriff (Indicators of Compromise), nach denen man in seinen Logfiles Ausschau halten sollte. Traten sie vor einem Patch auf, ist davon auszugehen, dass die Angreifer das System kompromittiert haben.
Kampagnen-spezifische IoCs
Die bisher beobachteten Angriffe erstellen eine Webshell namens spinstall0.aspx in einem der folgenden Pfade:
# C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\ # ...\16\TEMPLATE\LAYOUTS\`
Dies ergibt HTTP-Zugriffe auf /_layouts/15/spinstall0.aspx beim Zugriff auf diese Webshell. Dabei wird dann via w3wp.exe Powershell ausgeführt. Diese erhält Base64-kodierte Eingabebefehle, was sich im Event-Log oder Logdateien auffinden lässt. Außerdem kommt auch eine Datei namens debug_dev.js mit Base64-Inhalt zum Einsatz. Dies sind die Hash-Summen der bekannten Webshells und Skripte:
Nach diesen kann man in Log-Dateien etwa von Firewalls Ausschau halten. Allerdings können zukünftige Angriffe auf andere Techniken setzen, sodass diese IoCs nur beschränkt aussagekräftig sind.
Was Betroffene jetzt tun sollten
Selbst nachdem die SharePoint-Patches installiert werden, muss man davon ausgehen, dass sich Angreifer Zugriff auf das System verschaffen konnten. Bleiben Hinterlassenschaften und Modifikationen der Angreifer unbemerkt, ist damit zu rechnen, dass diese zu einem späteren erneut auf die Systeme zugreifen, um etwa Daten zu verschlüsseln und das Unternehmen zu erpressen. So geschehen etwa 2020, als Admins der Uniklinik Düsseldorf die sogenannte Shitrix-Zero-Day-Lücke in ihren Citrix-VPN-Gateways patchten, aber die zuvor bereits installierte Backdoor nicht bemerkten. Einige Zeit später wurde die Uniklinik durch einen Ransomware-Angriff lahmgelegt, bei dem die Angreifer diese Backdoor benutzten.
Es muss folglich nach dem Patchen davon ausgegangen werden, dass Systeme bereits durch Angreifer kompromittiert wurden. Um danach festzustellen, ob tatsächlich ein Angriff erfolgte und vielleicht sogar Erfolg hatte, empfehlen wir folgende Maßnahmen:
Suchen nach den oben aufgeführten IoCs
Kompromittierungsanalyse mit geeigneten Werkzeugen wie Yara; passende Yara-Regeln stellen wir auf Github bereit. Es kann auch das kostenlose Thor Lite zum Einsatz kommen, das etwa im aktuellen Desinfec’t enthalten ist.
Gefundene Webshells entfernen
MachineKeys (ValidationKey, DecryptionKey) gemäß der Microsoft-Anleutung neu generieren
Zugangsdaten ändern – besonders von Dienstkonten und administrativen Benutzern
IIS-Logs und Event Logs auf Anzeichen weiterer Aktivitäten prüfen
Microsoft empfiehlt zum Aufspüren etwa der Webshells den eigenen Defender Antivirus. Dazu sei angemerkt, dass es bereits seit 2021 öffentlich verfügbare, generische Yara-Regeln gibt, die die in dieser Kampagne eingesetzten Webshells erkennen – lange vor Veröffentlichung der ersten Advisories. Wer regelmäßig seine exponierten Systeme mit den Open-Source-Regelwerken untersucht, hätte somit klare Hinweise auf eine Kompromittierung erhalten (anders als bei vielen Antivirus-Engines, die die Webshells zum Zeitpunkt der ersten Analysen noch nicht erkannten).
Während Open-Source-Regeln für Yara die Webshell „spinstall0.aspx bereits entdeckten, gaben die gängigen Antivirus-Tools noch keinen Alarm.
(Bild: Screenshot Virustotal)
Werkzeuge zur Unterstützung
Folgende Werkzeuge helfen bei der Suche nach Spuren und Hinterlassenschaften der Angreifer:
In der Antike deuteten Wahrsager aus den Eingeweiden von Opfertieren die Zukunft. Von großer Bedeutung war die Leberschau – die Leber galt als Organ, das den Zustand der Welt widerspiegelt. Für seherische Weissagungen brauchen wir heute glücklicherweise keine Tierkadaver mehr. Die dauerausgestellten Idealkörper unserer Stars sind für alle sichtbar und ihre prophetischen Deutungen erreichen täglich Tausende Menschen.
So auch der alarmierende Orakelspruch von Heidi Klum: „Wir haben anscheinend alle Parasiten und Würmer“, sagte die Model-Mama jüngst in einem Interview mit dem Wall Street Journal. Sie unterziehe sich daher mit Ehemann Tom Kaulitz einer langwierigen „Parasiten-Reinigung“.
Doch nicht nur bei Heidi ist der Wurm drin. Als „der Mann, der unsterblich sein will“ geistert Bryan Johnson schon seit einigen Jahren durch die Medien. Der US-amerikanische Geschäftsmann und „Langlebigkeits-Influencer“ stellte in seinem Podcast fest: „Unsere Eltern sind voll mit Asbest, wir sind voller Mikroplastik“. Johnson zählt sich selbst zu den „Top 1 %“, gemessen an seiner „Entzündungsrate“ und der Anzahl seiner „nächtlichen Erektionen“.
Die Katastrophe scheint also unausweichlich. Gift und Gewürm geben sich im sonst über alle Maßen gepflegten Promi-Body die Klinke in die Hand. Können uns da Mikroplastik-Tests und Wurmkuren noch retten?
Der Feind in uns
Wenn Klum und Johnson die allumfassende Verseuchung verkünden, sprechen sie gern im Plural. Wir alle sind schwer belastet durch Luftverschmutzung, Mikroplastik und UV-Strahlen, sind gezeichnet von Süchten und Faulheit. Oben drauf kommen Hass und Hetze, schlechte Kunst und mieser Content. Der Gesellschaft bleibt also gar nichts anderes übrig, als den eigenen Körper und die Umwelt als feindlich wahrzunehmen.
Dagegen „helfen“ sollen die verschiedensten Produkte: Atemschutzmasken mit eingebauten Noise-Cancelling-Kopfhörern, „Serum“ mit Lichtschutzfaktor 50 aus Südkorea, Stanley Cups für ausreichend Hydration und einen strahlenden Teint. Für die Feinde im eigenen Kopf und Körper – alternde Zellen, ansetzendes Fett, Einsamkeit oder ein undisziplinierter Geist – gibt es proteinreiche Ernährung, Pillen, Hormontherapien, Dating– und Fitness-Apps.
Die Aussicht auf die nahende Katastrophe oder gar die Todesangst der eigenen Kunden sind immer gut für das Geschäft. Das wissen die Wurm-Gurus auf TikTok, die teure Anti-Parasiten-Tinkturen vertreiben, ebenso wie die Beauty-Industrie und am besten wohl Bryan Johnson, der am regressiven Wunsch nach Unsterblichkeit kräftig mitverdient.
Sauber bleiben in einer schmutzigen Welt
Johnson und Klum verkaufen die Idee eines ewigen Lebens an verzweifelnde Kunden – und das in einer zunehmend schmutzigen Welt, die langsam aber sicher an ihrem eigenen Müll erstickt. Zwar lässt sich Mikroplastik im Gegensatz zu Heidis Parasiten nachweisen, fürs menschliche Auge aber ist es unsichtbar.
Von der eisigen Antarktis bis in die Tiefen des Marianengrabens, ob in Sperma, Uterus oder Gehirn, ob Biomarkt oder Discounter – die winzig kleinen Plastikteilchen sind bereits überall. Und wenn gesundheitsbewusste und zahlungskräftige Kunden auf das Problem aufmerksam gemacht werden, boomt das Geschäft für Johnson und Konsorten.
Johnson selbst hat bereits mit der Entplastifizierung des Körpers begonnen und seine Plastikwerte angeblich um ein Vielfaches gesenkt. Für Normalsterbliche ist das noch nicht möglich. Aber wer jetzt schon wissen mag, wie viel Mikroplastik im eigenen Blut herumschwimmt, dem verkauft Johnson Mikroplastik-Tests für 135 Dollar das Stück. Der Zweck des Produktes richtet sich dabei – wie gewohnt – auf die Bekämpfung der Symptome, nicht ihrer Ursachen.
Wiederkehr verdrängter Schuld
Gleichzeitig arbeiten diejenigen, die vor den Konsequenzen ihres eigenen Treibens am besten geschützt sind, fleißig an der kulturellen und physischen Zersetzung der Welt mit. Parasiten-Prophetin Heidi Klum, die im People Magazine verkündete, dass „Älterwerden okay ist“ und sich „total für Botox“ ausspricht, hat immerhin fünf Jahre lang für die Fast-Food-Kette McDonalds geworben.
Wen wundert es angesichts dieser Ambivalenz, dass Heidi bei ihrer berühmt-berüchtigten Halloween-Party als Riesenwurm auftrat. War das grandiose Kostüm unbewusster Ausdruck der eigenen Todesangst und des verdrängten schlechten Gewissens?
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Die Würmer folgen der armen Heidi nun selbst in die virtuelle Heimat. Im persönlichen Social-Media-Feed setzt sich die grausige Thematik fort, wie sie im Wall-Street-Journal-Interview verrät: „Gerade ist mein kompletter Instagram-Feed voll mit Würmern und Parasiten“.
Ähnliche Widersprüche tun sich bei Johnson auf. Der Influencer sagt zwar, dass „wir die Welt in Plastik gebadet haben“. Seine Olivenöl-Hausmarke „Snake Oil“ verkauft er aber dennoch in reisetauglichen Plastiksäckchen zu je 15 Milliliter.
Die Langlebigkeits-Jünger loben das Schlangen-Öl in zahlreichen Kommentaren auf der Verkaufs-Website: „Kein Problem mit dem Geschmack, ich nehme jeden Morgen problemlos einen Esslöffel ein. Das Flaschendesign gefällt mir sehr.“ Und ein anderer schreibt: „Ich trinke gerade meine fünfte Flasche Olivenöl.“ Amerikaner eben.
Madige Aussichten
Wer den Menschen Parasiten andichtet und sie glauben machen will, dass die Mikromenge an „Polyphenolen“ in Olivenöl ewiges Leben verheißt, der ist kein Seher, sondern ein Scharlatan.
Und während die tatsächliche Plastikwerdung von Umwelt und Körper voranschreitet, sind Klum und Johnson vermutlich die Ersten, die sich von Verkaufsschalter und Behandlungstisch auf ihre vom Plebs abgeschirmten Yachten oder in sterile Bunker flüchten.
Grund zur Hoffnung gibt es trotzdem. Für die Verwurmten unter uns hat die Model-Mama immerhin noch einen Hausmittel-Tipp parat: „Der Parasit hasst Nelken. Er hasst auch die Samen einer Papaya.“
Fraktal, generiert mit MandelBrowser von Tomasz Śmigielski
Liebe Leser:innen,
zu Beginn dieser Woche hab ich zufällig ein kurzes Video über Bambus angeschaut. Wusstet ihr, dass einige Arten pro Tag fast einen Meter in die Höhe schießen? Man kann ihnen buchstäblich beim Wachsen zusehen.
Ich bin dann in ein Wurmloch gefallen und hab erfahren, dass Bambus es bei der Zugkraft mit Stahl aufnehmen kann. Dass er weit mehr Sauerstoff freisetzt als Bäume. Und natürlich essen ihn süße Pandabären.
Ein weit weniger erbauliches Bild zeigt die zurückliegende (netz-)politische Woche. Vorratsdatenspeicherung, Daten-Rasterfahndung, biometrische Live-Videoüberwachung – die ungeheuerlichsten Überwachungspläne sprießen gerade so aus dem Boden. Gleichzeitig will die Bundesregierung die Zivilgesellschaft unter Extremismus-Generalverdacht stellen, um ihr die Mittel und Rechte zu beschneiden. Und daneben fällt ihr nichts Besseres ein, als den Druck auf marginalisierte Menschen einmal mehr zu erhöhen – mit weiteren Streichungen und noch härteren Sanktionen.
Mir war klar, dass die Bäume mit Schwarz-Rot nicht in den Himmel wachsen werden. Dass die Regierung aber so rasch und beherzt Richtung Autoritarismus und Überwachungsstaat marschiert – wie auch Lena Rohrbach und Philipp Krüger von Amnesty International mit Blick aufs geplante Bundespolizeigesetz konstatieren –, habe ich dann doch nicht erwartet.
Zurück zum Bambus. Auch wir sind diese Woche ordentlich gewachsen. Drei neue Menschen gehören seit dem 1. September unserem Team an. Timur ist unser erster Volontär und macht nebenher noch Beiträge für KiKA. Bahn-Nerd Ben ist für die nächsten 12 Monate unser Bundesfreiwilliger. Und Fio unterstützt uns ab sofort bei der Social-Media-Arbeit. Wir freuen uns auf die Zusammenarbeit!
Verabschieden mussten wir uns von Lilly, die uns ein Jahr lang tatkräftig als Bundesfreiwillige unterstützt hat. Wie sie auf ihre Zeit bei uns zurückblickt, erzählt sie in der aktuellen Folge unseres Podcasts Off/On. Hört gerne rein. Und vielen Dank für alles, Lilly!
Habt ein schönes Wochenende
Daniel
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Seit Monaten protestieren Microsoft-Mitarbeitende in den USA dagegen, dass ihr Unternehmen Geschäftsbeziehungen zum israelischen Militär und der israelischen Regierung unterhält. Microsoft hat einige demonstrierende Angestellte entlassen. Zugleich will das Unternehmen prüfen, ob israelische Streitkräfte die Azure-Plattform zur Überwachung von Palästinenser:innen nutzen.
Lesen Sie diesen Artikel: Microsoft entlässt Mitarbeitende nach Protesten weiterlesen
Wie unsere jüngsten Team-Mitglieder auf unsere Arbeit und Soziale Medien blicken
Ingo, Karoline und Lilly bei der Arbeit
Karoline ist seit zwei Monaten Praktikantin bei uns. Lilly war seit September 2024 unsere Bundesfreiwillige im Rahmen eines „Freiwilligenjahres Beteiligung“. In der neuen Ausgabe Off The Record erzählen die beiden, was sie bei uns erlebt haben. Welche Tätigkeiten haben sie übernommen? Was haben sie gelernt? Und wie ist das so als junger Mensch in einem älteren Team?
Außerdem gibt’s eine kleine Meme-Nachhilfestunde. Wir sprechen nämlich auch über ihre Erfahrungen mit unserer Community und über die Rolle Sozialer Medien. Lilly hat im letzten Jahr unseren Instagram-Account betreut, Karoline hat sich im Studium intensiv mit Social Media beschäftigt. Was denken die beiden: Sollten wir den Insta-Account unserer Redaktion dichtmachen?
In dieser Folge: Ingo Dachwitz, Karoline Tanck und Lilly Pursch. Produktion: Serafin Dinges. Titelmusik: Trummerschlunk.
Hier ist die MP3 zum Download. Wie gewohnt gibt es den Podcast auch im offenen ogg-Format. Ein maschinell erstelltes Transkript gibt es im txt-Format.
Unseren Podcast könnt ihr auf vielen Wegen hören. Der einfachste: in dem Player hier auf der Seite auf Play drücken. Ihr findet uns aber ebenso bei Apple Podcasts, Spotify und Deezer oder mit dem Podcatcher eures Vertrauens, die URL lautet dann netzpolitik.org/podcast.
Wir freuen uns über Kritik, Lob, Ideen und Fragen entweder hier in den Kommentaren oder per E-Mail an podcast@netzpolitik.org.
Links und Infos
Blattkritik
Karolines Text über verschwundene Porno-Games
Ingos Text über den Wasserverbrauch von Rechenzentren: Immer noch nicht erschienen…
