Tehdit aktörleri için açık büfe

ESET Research, yakın zamanda keşfedilen ToolShell sıfırıncı gün güvenlik açıklarını içeren saldırıları izliyor

19 Temmuz 2025 tarihinde Microsoft, SharePoint Server’da ToolShell adı verilen bir dizi sıfırıncı gün güvenlik açığından yararlanıldığını doğruladı. ToolShell, bir uzaktan kod yürütme güvenlik açığı olan CVE-2025-53770 ve bir sunucu sahteciliği güvenlik açığı olan CVE-2025-53771‘den oluşmaktadır. Bu saldırılar, özellikle SharePoint Abonelik Sürümü, SharePoint 2019 veya SharePoint 2016 çalıştıran şirket içi Microsoft SharePoint sunucularını hedef almaktadır. Microsoft 365’teki SharePoint Online etkilenmemektedir. Bu güvenlik açıklarından faydalanmak, tehdit aktörlerinin kısıtlı sistemlere giriş yapmasını ve hassas bilgileri çalmasını sağlar. 

17 Temmuz’dan itibaren ToolShell, küçük siber suçlulardan ulus devlet APT gruplarına kadar her türlü tehdit aktörü tarafından yaygın bir şekilde istismar edilmiştir. SharePoint, Office, Teams, OneDrive ve Outlook gibi diğer Microsoft hizmetleriyle entegre olduğundan bu güvenlik açığı saldırganlara etkilenen ağ genelinde şaşırtıcı düzeyde erişim sağlayabilir. 

Saldırının bir parçası olarak, tehdit aktörleri genellikle dört güvenlik açığını bir araya getirmektedir: Daha önce yamalanmış olan CVE-2025-49704 ve CVE-2025-49706 ile daha önce bahsedilen CVE-2025-53770 ve CVE-2025-53771. 22 Temmuz itibariyle CVE-2025-53770 ve CVE-2025-53771 de yamalanmıştır. 

Webshell yükleri 

ToolShell’den faydalanmak saldırganların çok faktörlü kimlik doğrulamayı (MFA) ve çoklu oturum açmayı (SSO) atlamasına olanak tanır. Hedeflenen sunucuya girdikten sonra, saldırganların ele geçirilen sistemden bilgi almak için kötü amaçlı web kabukları kullandıkları görülmüştür. Bu amaçla sıklıkla kullanılan komut dosyalarından biri, MSIL/Webshell.JS olarak izlediğimiz spinstall0.aspx adlı komut dosyasıdır. 

Ayrıca 22 Temmuz 2025’te saldırganların cmd.exe aracılığıyla saldırgan tarafından sağlanan komutları çalıştırabilen başka basit ASP web kabukları dağıtmaya çalıştıklarını gözlemledik. Bu web kabukları şu dosya adları kullanılarak dağıtıldı: ghostfile346.aspx, ghostfile399.aspx, ghostfile807.aspx, ghostfile972.aspx ve ghostfile913.aspx. 

ESET ürünleri ilk olarak 17 Temmuz’da Almanya’da yürütme zincirinin bir parçası olan Sharepoint/Exploit.CVE-2025-49704 güvenlik açığından yararlanma girişimini tespit etti. Ancak bu girişim engellendiği için nihai webshell yükü hedeflenen sisteme teslim edilmemiştir. Yükün kendisini ilk kez 18 Temmuz’da İtalya’daki bir sunucuda kaydettik. Şekil 1 ‘de görüldüğü gibi, o zamandan beri tüm dünyada aktif ToolShell istismarı gözlemledik ve telemetri verilerimize göre ABD (saldırıların %13,3’ü) en çok hedeflenen ülke oldu. 

Saldırı izleme

ToolShell saldırılarını 17 Temmuz’dan 22 Temmuz’a kadar izlediğimizde saldırıların Tablo 1 ‘de gösterilen IP adreslerinden geldiğini gördük (tüm zamanlar UTC’dedir). 

Tablo 1 . Saldırgan IP adresleri 

Endişe verici bir şekilde Microsoft, Çin’e bağlı birkaç tehdit aktörünün istismar girişimlerine katıldığını bildirdi. Bizim tarafımızdan, ToolShell aracılığıyla hedeflenen Vietnam’daki bir makinede LuckyMouse – çoğunlukla hükümetleri, telekomünikasyon şirketlerini ve uluslararası kuruluşları hedef alan bir siber casusluk grubu – ile ilişkili bir arka kapı tespit ettik. Bu aşamada, sistemin daha önce tehlikeye atılıp atılmadığı ya da arka kapının mevcut saldırı sırasında mı eklendiği belirsizliğini korumaktadır. 

Bununla birlikte, Çin’e bağlı APT grupları bu istismar zincirini cephaneliklerine ekleme fırsatını kesinlikle değerlendirdi: telemetrimize göre, ToolShell saldırılarının kurbanları arasında bu grupların uzun süredir hedefinde olan birkaç yüksek değerli devlet kuruluşu da bulunuyor. 

Artık bıçak kemiğe dayandığından daha pek çok fırsatçı saldırganın yamalanmamış sistemlerden faydalanmasını bekliyoruz. İstismar girişimleri devam ediyor ve kesinlikle devam edecek. Bu nedenle, SharePoint Server kullanıyorsanız aşağıdakileri yapmanız önerilir (Microsoft’un kılavuzuna göre): 

• Yalnızca desteklenen sürümleri kullanın, 

• En son güvenlik güncellemelerini uygulayın, 

• Antimalware Tarama Arayüzünün açık olduğundan ve uygun bir siber güvenlik çözümü ile doğru şekilde yapılandırıldığından emin olun ve  

• SharePoint Server ASP.NET makine anahtarlarını döndürün. 

IoC’ler 

Kapsamlı bir uzlaşma göstergeleri listesi (IoC’ler) ve örnekler GitHub depomuzda bulunabilir. 

Files 

Network 

MITRE ATT&CK teknikleri 

Bu tablo MITRE ATT&CK çerçevesinin 17. sürümü kullanılarak oluşturulmuştur.