️‍️ Angriffe auf Microsoft SharePoint: Patchen reicht nicht – So jagst du die Cyber-Eindringlinge

Stellen Sie sich vor, Ihr SharePoint-Server ist wie ein gemütliches Café – bis ein digitaler Ninja durch die Hintertür (CVE--) schlüpft und eine Webshell wie spinstall.aspx hinterlässt, um Ihre Daten zu schlürfen. Patchen? Das ist, als würden Sie die Tür abschließen, während der Einbrecher schon im Wohnzimmer sitzt. In diesem Blog tauchen wir tief in die Angriffe auf Microsoft SharePoint ein, liefern technische Details, Compliance-Hinweise und einen Schlachtplan, um die Eindringlinge zu vertreiben – mit einem Schuss Humor, damit Sie nicht vor lauter Cyber-Albträumen den Kaffee verschütten.

Fallstudie: Der digitale Einbruch

Ein Unternehmen entdeckt verdächtige POST-Requests an /layouts//ToolPane.aspx in den IIS-Logs. Eine YARA-Scan-Regel spürt eine Webshell (spinstall.aspx) auf, die Base-kodierte PowerShell-Befehle ausführt. Der Angreifer kam über eine Zero-Day-Lücke (CVE--), die bis . Juli unbekannt war. Maßnahmen: Webshell gelöscht, MachineKeys erneuert, Netzwerkverkehr analysiert. Ergebnis: Kompromittierung eingedämmt, Lessons Learned ins Sicherheits-Playbook integriert. Keine Datenexfiltration, aber ein Weckruf: Patchen allein reicht nicht!

Die Essenz der SharePoint-Angriffe

Wie die Angreifer zuschlagen

Die Angreifer nutzen eine Zero-Day-Schwachstelle in On-Premises-SharePoint-Servern (Cloud-Nutzer, entspannt euch – Microsoft ist safe). Über spezielle POST-Requests an /layouts//ToolPane.aspx mit Referer /layouts/SignOut.aspx platzieren sie Webshells wie spinstall.aspx oder debug_dev.js. Diese ermöglichen beliebige Codeausführung via wwp.exe – oft mit Base-kodierten PowerShell-Befehlen. Es ist, als würden sie einen Trojaner in Ihr System schmuggeln, während Sie noch die Firewall-Regeln checken.

Zielgruppen und Risiken

Die Angriffe zielen auf Regierungen, Bildung, Gesundheitswesen und Großunternehmen. Proof-of-Concept-Exploits sind öffentlich, was Cybercrime-Banden wie hungrige Wölfe anlockt. Hunderte verwundbare Server stehen im Internet, und Listen mit kompromittierten Systemen kursieren in Hacker-Foren. Ohne Gegenmaßnahmen drohen Ransomware, Datenlecks oder ein Compliance-Desaster (GDPR, HIPAA, anyone?).

️ Das Arsenal des Admins

Profi-Insight: Automatisiere YARA-Scans in CI/CD-Pipelines und prüfe False Positives in einer Sandbox.

️ Der Säuberungsprozess: Ein Cyber-Meisterwerk

️⃣ IoCs identifizieren Suche nach POST-Requests an /layouts//ToolPane.aspx und verdächtigen IPs (z. B. ...).

️⃣ Webshells aufspüren Scanne Dateisysteme mit YARA für spinstall.aspx in:

C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\\TEMPLATE\LAYOUTS\

️⃣ Analyse vertiefen Prüfe Event-Logs auf Base-PowerShell (EventID ) und Hash-Summen wie:

cbedbaefffbcbdafeeeceabfee

️⃣ Systeme säubern

• Webshells löschen.
• MachineKeys (ValidationKey, DecryptionKey) per Microsoft-Anleitung erneuern.
• Admin- und Dienstkonten-Passwörter ändern.

️⃣ Absichern Patchen, nicht patchbare Server vom Netz trennen, regelmäßige Scans einplanen.

Profi-Insight: Nutze Graph-Datenbanken (z. B. Neoj) für visuelle Korrelation von IoCs und Angriffszeitachsen.

Angriffsmerkmale

Erweiterte IoC-Analyse mit Beispielen

• Webshell (spinstall.aspx): Gefunden in LAYOUTS-Verzeichnis, ermöglicht Codeausführung. → Gegenmaßnahme: YARA-Scan, Datei löschen, Logs auf Zugriffe prüfen.

• Base-PowerShell: Verdächtige Befehle in Event-Logs (z. B. EventID ). → Gegenmaßnahme: Sysmon-Regeln anpassen, Base-Dekodierung automatisieren.

  Playbook: Automatisierte Webshell-Jagd

name: Automatisierte Jagd auf SharePoint-Webshells
hypothesis: "Webshell (spinstall.aspx) via CVE--"
steps:
  - Trigger: POST-Request an /layouts//ToolPane.aspx.
  - Aktion: YARA-Scan auf LAYOUTS-Verzeichnis.
  - Validierung: Hash-Vergleich mit bekannten Summen.
  - Benachrichtigung: Slack-Alert mit Funddetails.

Profi-Insight: Automatisiere mit SOAR-Tools wie Splunk SOAR. Humor-Twist: „Lass die Maschinen die Webshell jagen, während du den Serverraum aufräumst!“

Compliance und warum Ihr Chef das wissen muss

Ein kompromittierter SharePoint-Server kann gegen GDPR, HIPAA oder ISO verstoßen. Datenlecks oder Ransomware (erinnern Sie sich an die Uniklinik Düsseldorf ?) können rechtliche und finanzielle Katastrophen auslösen. Regelmäßige Scans und Dokumentation der Maßnahmen sind Pflicht, um Auditoren glücklich zu machen.

Rituale des Profi-Admins

• Patchen sofort nach Verfügbarkeit.
• IoCs in Logs (IIS, Sysmon, Firewall) prüfen.
• YARA-Regeln regelmäßig aktualisieren.
• MachineKeys und Passwörter erneuern.
• Erkenntnisse in Playbooks einspeisen.
• Nicht patchbare Server isolieren.

Fragen zur Selbstprüfung

• Habe ich alle IoCs geprüft?

• Sind meine Logs sauber?

• Nutze ich YARA oder Thor Lite?

• Sind meine MachineKeys aktuell?

• Habe ich Passwörter erneuert?

• Kenne ich meine Angriffsvektoren?

• Automatisiere ich Scans?

• Dokumentiere ich alles?

• Bleibe ich paranoid?

  Ressourcen für Experten

• heise Security: Angriffe auf Microsoft SharePoint

• YARA-Regeln auf GitHub (Florian Roth)

• SANS FOR: Advanced Incident Response

• Microsoft Defender-Dokumentation

Schlussgedanke: Patchen ist der erste Schritt, aber die wahre Kunst ist die Jagd nach den digitalen Ninjas. Mit YARA, Sysmon und einem Hauch IT-Paranoia vertreibst du die Eindringlinge – und vielleicht gönnst du dir danach ein Eis. Dein SharePoint zählt auf dich!