Die aktuell beobachteten Angriffe auf SharePoint-Server nutzen eine bis 20. Juli 2025 unbekannte Lücke in lokalen Installationen von Microsoft Sharepoint aus (CVE-2025-53770). Da es bis vor Kurzem kein Update gab, mit dem man sich schützen konnte – es handelte sich um eine Zero-Day-Schwachstelle – konnten die Angreifer die verwundbaren Systeme nach Belieben übernehmen und sich dort einnisten. Dieses Problem wird auch durch das Einspielen der Patches nicht beseitigt; Angreifer könnten auch danach Zugriff auf den Sharepoint-Server und weitere Systeme haben.

Wir beschreiben, wie die Angreifer bei ihren bisherigen Angriffen vorgegangen sind, welche Spuren sie dabei hinterlassen haben und wie man die gezielt aufspüren kann, um sich Gewissheit zu verschaffen, ob das eigene Unternehmen betroffen ist. Anschließend geben wir Tipps für die gezielte Suche und Reinigung betroffener Systeme. Wer die Zusammenfassung überspringen möchte, liest direkt bei „Was Betroffene jetzt tun sollten“ weiter.

Was passiert ist

Angreifer nutzen eine Kombination mehrerer Schwachstellen aus, um ohne Authentifizierung beliebigen Code auf SharePoint-Servern auszuführen. Dabei wird über speziell präparierte HTTP-Anfragen eine ASPX-Webshell ins SharePoint-Dateisystem geschrieben, die anschließend für beliebige Befehlsausführung genutzt werden kann. Die bekannteste Kampagne nutzt eine Webshell mit dem Namen spinstall0.aspx. Daneben beschrieb Palo Alto Networks mindestens zwei weitere Exploit-Varianten – darunter Varianten mit leicht abgewandelten Namen, dem Einsatz von sleep() sowie dem Ablegen von Konfigurationsdaten in Dateien wie debug_dev.js.

Die ausgenutzte Schwachstelle betrifft ausschließlich On-Premises-Installationen von SharePoint. Cloud-basierte Varianten wie SharePoint Online (Microsoft 365) sind nicht betroffen. Warum diese nicht anfällig sind, ist derzeit nicht bekannt.

Die Lage: Viele Systeme kompromittiert

Trotz der öffentlichen Warnungen sind weiterhin hunderte verwundbare SharePoint-Systeme im Internet erreichbar. Listen mit bereits kompromittierten Systemen zirkulieren in einschlägigen Kreisen – samt der zugehörigen Webshells, die öffentlich erreichbar und benutzbar sind. Es ist davon auszugehen, dass diese Systeme eher früher als später ungebetenen Besuch bekommen.

Bisher konzentrierten sich die Angriffe offenbar auf die Sektoren Regierungen, Bildung, Gesundheitswesen und Großunternehmen. Allerdings wurden auch bereits erste Proof-of-Concepts-Exploits der Schwachstelle veröffentlicht. Mit diesen ist das Ausnutzen der Lücken auch anderen Angreifergruppen möglich. Es ist damit zu rechnen, dass insbesondere Cybercrime-Banden auf den Zug aufspringen und die Angriffe in die Fläche tragen. Unverzügliches Patchen der Server ist deshalb unverzichtbar; nicht patchbare Server sollte man vom Internet trennen.

Da die Exploits bereits veröffentlicht wurden und in den einschlägigen Kreisen weiter gereicht werden, sehen wir keinen Sinn darin, diese wichtigen Informationen den Verteidigern vorzuenthalten.

Angriffs-Indikatoren (IoCs)

Die Angriffe erfolgen über einen POST-Request auf

/_layouts/15/ToolPane.aspx

mit einem HTTP-Referer-Header

/_layouts/SignOut.aspx

Dies sind stabile Anzeichen für einen erfolgten Angriff (Indicators of Compromise), nach denen man in seinen Logfiles Ausschau halten sollte. Traten sie vor einem Patch auf, ist davon auszugehen, dass die Angreifer das System kompromittiert haben.

Kampagnen-spezifische IoCs

Die bisher beobachteten Angriffe erstellen eine Webshell namens spinstall0.aspx in einem der folgenden Pfade:

# C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\
# ...\16\TEMPLATE\LAYOUTS\`

Dies ergibt HTTP-Zugriffe auf /_layouts/15/spinstall0.aspx beim Zugriff auf diese Webshell. Dabei wird dann via w3wp.exe Powershell ausgeführt. Diese erhält Base64-kodierte Eingabebefehle, was sich im Event-Log oder Logdateien auffinden lässt. Außerdem kommt auch eine Datei namens debug_dev.js mit Base64-Inhalt zum Einsatz. Dies sind die Hash-Summen der bekannten Webshells und Skripte:

- 27c45b8ed7b8a7e5fff473b50c24028bd028a9fe8e25e5cea2bf5e676e531014
- 92bb4ddb98eeaf11fc15bb32e71d0a63256a0ed826a03ba293ce3a8bf057a514
- 8d3d3f3a17d233bc8562765e61f7314ca7a08130ac0fb153ffd091612920b0f2
- 30955794792a7ce045660bb1e1917eef36f1d5865891b8110bf982382b305b27
- 4a02a72aedc3356d8cb38f01f0e0b9f26ddc5ccb7c0f04a561337cf24aa84030
- fa3a74a6c015c801f5341c02be2cbdfb301c6ed60633d49fc0bc723617741af7

Die Angriffe gingen von folgenden IP-Adressen aus:

- 107.191.58[.]76
- 45.77.155[.]170
- 154.223.19[.]106

Nach diesen kann man in Log-Dateien etwa von Firewalls Ausschau halten. Allerdings können zukünftige Angriffe auf andere Techniken setzen, sodass diese IoCs nur beschränkt aussagekräftig sind.

Was Betroffene jetzt tun sollten

Selbst nachdem die SharePoint-Patches installiert werden, muss man davon ausgehen, dass sich Angreifer Zugriff auf das System verschaffen konnten. Bleiben Hinterlassenschaften und Modifikationen der Angreifer unbemerkt, ist damit zu rechnen, dass diese zu einem späteren erneut auf die Systeme zugreifen, um etwa Daten zu verschlüsseln und das Unternehmen zu erpressen. So geschehen etwa 2020, als Admins der Uniklinik Düsseldorf die sogenannte Shitrix-Zero-Day-Lücke in ihren Citrix-VPN-Gateways patchten, aber die zuvor bereits installierte Backdoor nicht bemerkten. Einige Zeit später wurde die Uniklinik durch einen Ransomware-Angriff lahmgelegt, bei dem die Angreifer diese Backdoor benutzten.

Es muss folglich nach dem Patchen davon ausgegangen werden, dass Systeme bereits durch Angreifer kompromittiert wurden. Um danach festzustellen, ob tatsächlich ein Angriff erfolgte und vielleicht sogar Erfolg hatte, empfehlen wir folgende Maßnahmen:

1. Suchen nach den oben aufgeführten IoCs
2. Kompromittierungsanalyse mit geeigneten Werkzeugen wie Yara; passende Yara-Regeln stellen wir auf Github bereit. Es kann auch das kostenlose Thor Lite zum Einsatz kommen, das etwa im aktuellen Desinfec’t enthalten ist.
3. Gefundene Webshells entfernen
4. MachineKeys (ValidationKey, DecryptionKey) gemäß der Microsoft-Anleutung neu generieren
5. Zugangsdaten ändern – besonders von Dienstkonten und administrativen Benutzern
6. IIS-Logs und Event Logs auf Anzeichen weiterer Aktivitäten prüfen

Microsoft empfiehlt zum Aufspüren etwa der Webshells den eigenen Defender Antivirus. Dazu sei angemerkt, dass es bereits seit 2021 öffentlich verfügbare, generische Yara-Regeln gibt, die die in dieser Kampagne eingesetzten Webshells erkennen – lange vor Veröffentlichung der ersten Advisories. Wer regelmäßig seine exponierten Systeme mit den Open-Source-Regelwerken untersucht, hätte somit klare Hinweise auf eine Kompromittierung erhalten (anders als bei vielen Antivirus-Engines, die die Webshells zum Zeitpunkt der ersten Analysen noch nicht erkannten).

Werkzeuge zur Unterstützung

Folgende Werkzeuge helfen bei der Suche nach Spuren und Hinterlassenschaften der Angreifer:

Quellen und weitere Informationen

Bei heise security

Extern

(ju)

Zwei neue Dokumente sollen die Zukunft der KI-Regulierung in der EU mitbestimmen. Es geht darum, an welche Regeln sich mächtige KI-Modelle wie ChatGPT, Meta AI oder Gemini halten sollen. Wie transparent müssen die Systeme sein? Wie gut müssen sie die Daten schützen, die Nutzer*innen ihnen anvertrauen?

Die Grundlage dafür ist die neue KI-Verordnung (AI Act) der Europäischen Union, die nun schrittweise in Kraft tritt. Das Gesetz selbst ist aber an vielen Stellen deutungswürdig. Deshalb sollen jetzt Leitlinien und ein Verhaltenskodex klären, wie genau die EU-Kommission diese Regeln anwenden will – und was Unternehmen tun müssen, um Ärger zu vermeiden. Die wichtigsten Fragen und Antworten.

Für wen gelten Leitlinien und Kodex?

Die Leitlinien und der Kodex beziehen sich auf KI-Modelle mit allgemeinem Verwendungszweck (auf Englisch: „General-Purpose AI Models“). Gemeint sind Anwendungen wie ChatGPT oder Meta AI, die sich für erstaunlich viele verschiedene Dinge einsetzen lassen, indem sie beispielsweise Texte, Töne, Bilder oder Videos generieren.

Besser greifbar wird das anhand einiger Beispiele, welche KI-Modelle aus Sicht EU-Kommmission nicht darunterfallen. Den Leitlinien zufolge sind das etwa Modelle, die einfach nur…

• einen Text in Audio umwandeln,
• Schach spielen,
• das Wetter vorhersagen oder
• Soundeffekte erstellen.

Bei solchen und weiteren KI-Modellen ist der Verwendungszweck nicht allgemein, sondern schmal.

Als weiteres Kriterium nennt die EU die Rechenleistung, die beim Training eines KI-Modells zum Einsatz kam, gemessen in der Einheit FLOP („Floating Point Operations“). Der Schwellenwert von 10²³ FLOP ist demnach ein Indikator für ein KI-Modell mit allgemeinem Verwendungszweck.

Ob man das in einigen Jahren noch genauso sieht? Die Leitlinien bezeichnen es selbst als eine „nicht zuverlässige Annäherung“, die sich mit dem technologischen Fortschritt verändern könne.

Was sollen betroffene KI-Anbieter machen?

Die Verpflichtungen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck lassen sich auf drei Bereiche herunterbrechen. Ausführlich beschrieben werden sie im KI-Verhaltenskodex.

• Erstens sollen KI-Anbieter Transparenz schaffen, etwa über die Größe des Modells, die Trainingsdaten, den Energieverbrauch und die unternommenen Versuche, Fehler und Verzerrungen („bias“) einzudämmen.
• Zweitens sollen KI-Anbieter Urheberrechte wahren. Sie sollen zum Beispiel keine Inhalte von Websites erfassen, deren Betreiber dem widersprechen; und sie sollen Maßnahmen ergreifen, um möglichst keine Inhalte erzeugen, die ihrerseits Urheberrechte verletzen.
• Drittens sollen KI-Anbieter sich um Sicherheit und Gefahrenabwehr kümmern. Als konkrete Gefahren nennt der Kodex etwa Diskriminierung, das Abfließen sensibler Daten, die Erstellung illegaler Inhalte oder auch der Einfluss auf die öffentliche mentale Gesundheit. All das sind Aspekte, die beispielsweise Nachrichtenmedien mit Blick auf ChatGPT und ähnliche Modelle längst diskutieren.

Sind Leitlinien und Kodex verpflichtend?

Nein, die KI-Leitlinien und der Verhaltenskodex sind nicht verpflichtend – aber wer sich nicht daran hält, kann trotzdem Probleme bekommen. Das klingt paradox, lässt sich aber erklären, wenn man die Funktion der Regelwerke genauer betrachtet.

Die Grundlage für alles ist die KI-Verordnung, auf die sich Kommission, Rat und Parlament im legislativen Prozess geeinigt haben. Sie ist das Gesetz. Ob jemand gegen dieses Gesetz verstößt oder nicht, das entscheiden im Zweifel Gerichte. Die KI-Verordnung ist aber, wie so viele Gesetze, sehr allgemein formuliert und deutungswürdig.

Hier kommen die Leitlinien ins Spiel. Die EU-Kommission schreibt: Die Leitlinien „verdeutlichen“, wie die Kommission das Gesetz auslegt. Schließlich ist es die Kommission – genauer gesagt: das KI-Büro (AI Office) – das als Regulierungsbehörde über etwaige Verstöße wacht und entsprechende Verfahren einleitet. Doch selbst die Leitlinien sind noch recht allgemein formuliert.

Hier kommt der KI-Verhaltenskodex ins Spiel. Er buchstabiert genauer aus, welche Anforderungen betroffene KI-Systeme erfüllen sollen. Doch auch das ist zunächst freiwillig. Auf die Bedeutung des Kodex geht die EU-Kommission in ihren Leitlinien näher ein. Demnach „können“ betroffene Anbieter die Einhaltung ihrer Verpflichtungen aus der KI-Verordnung nachweisen, indem sie dem Kodex folgen. Wer das lieber nicht tun möchte, müsste auf anderen Wegen den Beweis erbringen, das Gesetz einzuhalten.

Man kann sich diesen Kodex also wie eine Musterlösung vorstellen – für alle, die sich möglichst nicht mit Aufsichtsbehörden anlegen wollen. Der Meta-Konzern will sich anscheinend mit Aufsichtsbehörden anlegen und hat bereits angekündigt, den Kodex nicht befolgen zu wollen. Schon während der Kodex entstand, beklagten Beobachter*innen, wie Konzern-Lobbyist*innen die Regeln zu ihren Gunsten verwässern.

Sind nun alle Fragen geklärt?

Überhaupt nicht. Die Leitlinien zeigen eher auf, auf welchen Ebenen es Konflikte geben wird. Gerade Unternehmen mit starken Rechtsabteilungen dürften versuchen, sich gegen Auflagen und Verpflichtungen zu wehren.

• Bevor ein Mensch ein KI-System nutzt, war oftmals eine Reihe von Akteur*innen beteiligt: vom Training des KI-Modells über den Betrieb eines konkreten Dienstes wie ChatGPT bis hin zu spezifischen Anwendungen, die mittels Schnittstellen funktionieren. Wer genau muss sich nun an die Leitlinien und den Kodex halten? Die EU-Kommission versucht das in den Leitlinien anhand von Beispielen zu verdeutlichen. Konflikte um konkrete Einzelfälle dürften unvermeidbar sein.
• Manche KI-Modelle mit allgemeinem Verwendungszweck will die EU-Kommission besonders ins Visier nehmen. Sie gelten zusätzlich als „systemisches Risiko“ und stehen deshalb unter verschärfter Aufsicht. Entscheidend für diese Einstufung ist laut Leitlinien etwa, ob ein KI-Modell zu den „fortschrittlichsten“ gehört. Durch diese vage Formulierung kann die EU-Kommission zwar flexibel auf technologischen Wandel reagieren. Aber sie gibt widerspenstigen Unternehmen auch Gelegenheit, sich gegen eine unliebsame Einstufung zu wehren.
• Die Leitlinien weisen selbst darauf hin, dass harmonisierte Standards noch fehlen. Dieser Prozess ist komplex und wird dauern. Der Verhaltenskodex sei nur ein temporäres Werkzeug. Gerade wenn Regulierungsstandards den wirtschaftlichen Interessen von Konzernen im Weg stehen, ist eine jahrelange Lobbyschlacht um jedes Detail zu erwarten.

Welchen Zeitplan gibt es für Leitlinien und Kodex?

Wer EU-Regulierung verfolgt, braucht viel Geduld. Es gibt drei wichtige Stichtage über die nächsten drei Jahre:

• Schon sehr bald, am 2. August 2025, treten die Verpflichtungen der KI-Verordnung für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck in Kraft, wie die EU-Kommission auf einer Infoseite erklärt. Das ganz ist aber eher eine Übergangsphase.
• Denn erst ein Jahr später, ab dem 2. August 2026, treten auch die Durchsetzungsbefugnisse der EU-Kommission in Kraft. Das heißt: Erst ab dann müssten säumige Unternehmen damit rechnen, eventuell Ärger von der Regulierungsbehörde zu bekommen, etwa durch Geldbußen.
• Für bereits verfügbare KI-Modelle – von ChatGPT bis Meta AI – gibt es eine noch längere Schonfrist. Denn wer sein KI-Modell schon vor dem 2. August 2025 auf den Markt gebracht hat, muss die Verpflichtungen aus der KI-Verordnung erst in zwei Jahren erfüllen, also ab dem 2. August 2027.

Das Team hinter der Open-Source-Schutzsoftware CrowdSec hat aktive Angriffe über zwei Schwachstellen registriert, die hunderte Multifunktionsdrucker-Modelle verschiedener Hersteller betreffen.

CVE-2024-51977 und CVE-2024-51978 sind bereits seit Ende Juni bekannt – heise online hat damals berichtet. Neu ist jedoch, dass tatsächlich Exploit-Versuche stattfinden. Wer die bereits seit einigen Wochen verfügbaren Firmware-Updates sowie die zusätzlich empfohlenen Sicherheitsmaßnahmen noch nicht eingespielt beziehungsweise ergriffen hat, sollte dies spätestens jetzt nachholen.

Zu den potenziell verwundbaren Geräten gehören mindestens 689 verschiedene Multifunktionsdrucker, Scanner und Etikettendrucker von Brother, 46 Druckermodelle von Fujifilm, fünf Drucker von Ricoh, zwei Modelle von Toshiba und sechs Geräte von Konica Minolta.

Das Rapid7-Team hat die derzeit ausgenutzten Schwachstellen entdeckt. Das Team beschreibt sie zusammen mit weiteren, dieselben Geräte betreffenden Lücken in einem Blogeintrag. Zu aktiven Angriffen auf die übrigen Schwachstellen ist nichts bekannt.

Drucker-Jagd via CVE-2024-51977

CrowdSecs Intrusion Prevention System analysiert Angriffe böswilliger IP-Adressen, um diese später gezielt erkennen und blockieren zu können. In diesem Zusammenhang entdeckte das Team laut Mitteilung eine „breit angelegte Scan-Kampagne“ nach Druckern, die im Netzwerk erreichbar und von CVE-2024-51977 als initialem Einfallstor betroffen sind.

Die Threat-Intelligenze-Spezialisten haben eine Website samt „Exploit-Timeline“ eingerichtet, die Angriffsversuche auf die Schwachstelle seit dem 9. Juli bis heute darstellt. Zwar sagt die (eher geringe) Zahl der täglich erfassten Angriffe auf Basis von Community-Daten wenig über die tatsächliche Größe der Angriffswelle aus. Die Statistik belegt jedoch, dass seit gut zwei Wochen täglich Exploit-Versuche stattfanden. Unterhalb der Timeline listet die Website zudem konkrete Angreifer-IPs auf.

Laut CrowdSecs Analysen verbergen sich hinter den Angriffen verschiedene Akteure und Strategien. Einige versuchen demnach gezielt, die Schwachstelle für den initialen Einbuch in Netzwerke zu missbrauchen; bei anderen handele es sich wohl um automatisierte Versuche zum Aufbau von IoT-Botnetzen. Letztere könnten kompromittierte Drucker später etwa für Distributed-Denial-of-Service-Angriffe (dDoS) nutzen.

Jetzt Standard-Kennwort ändern & updaten

CVE-2024-51977 (Einstufung „Medium“) ermöglicht mit wenig Aufwand das Extrahieren der Seriennummer verwundbarer Drucker. Von dieser Nummer wiederum leitet sich deren Standard-Kennwort ab.

Hat ein Angreifer dieses herausgefunden, ermöglicht CVE-2024-51978 (Einstufung „kritisch“) im nächsten Schritt der Angriffskette das Generieren eines Admin-Passworts – und damit vollen Zugriff auf das verwundbare Gerät. Das klappt natürlich nur, wenn das Standard-Kennwort zuvor nicht geändert wurde. Genau dies sollten Besitzer potenziell betroffener Geräte also tun, um Angriffsversuche ins Leere laufen zu lassen.

Neben dieser grundlegenden Sofortmaßnahme stehen Firmware-Updates der Hersteller bereit. Details sind unter anderem den folgenden Sicherheitshinweisen zu entnehmen:

(ovw)