Hackers Exploraram Falha no SharePoint para Invadir Sistemas Governamentais
Recentemente, cibercriminosos exploraram uma vulnerabilidade de segurança no ToolShell do Microsoft SharePoint para invadir diversas instituições governamentais em vários continentes. Isso ocorreu mesmo após a falha ter sido corrigida em um patch de julho deste ano. A vulnerabilidade em questão é o CVE-2025-53770, que permitia burlar a autenticação e executar códigos remotamente.
As vítimas incluem uma companhia de telecomunicações no Oriente Médio, departamentos governamentais na África, agências estatais na América do Sul e uma universidade nos Estados Unidos. A Equipe de Caça a Ameaças Symantec, da companhia Broadcom, identificou que a vulnerabilidade CVE-2025-53770 foi explorada em conjunto com duas outras falhas anteriores, CVE-2025-49704 e CVE-2025-49706.
Grupos Hackers Envolvidos
Três grupos hackers chineses foram identificados como responsáveis por explorar essas vulnerabilidades para criar malwares zero-day: Linen Typhoon, Violet Typhoon e Storm-2603. Além disso, outros grupos de cibercriminosos, como o Salt Typhoon, também se aproveitaram da vulnerabilidade para distribuir ferramentas maliciosas.
- Linen Typhoon: conhecidos pelo malware Budworm
- Violet Typhoon: conhecidos pelo malware Sheathminer
- Storm-2603: ligado ao espalhamento dos ransomwares Warlock, Lockbit e Babuk
- Salt Typhoon: usou o ToolShell para distribuir ferramentas maliciosas como Zingdoor, ShadowPad e KrustyLoader
Os incidentes na América do Sul e Estados Unidos envolveram a exploração de vulnerabilidades não especificadas para invadir o SharePoint, aproveitando, em seguida, o acesso de servidores SQL e Apache HTTP rodando o software Adobe ColdFusion. Dessa forma, malwares foram entregues através de técnicas de evasão de DLL.
A vulnerabilidade CVE-2021-36942 (ou PetitPotem) também foi explorada para escalada de privilégios e comprometimento de domínios, junto a ferramentas living-off-the-land para facilitar o escaneamento, download de arquivos e roubo de credenciais nos sistemas infectados.
Os especialistas acreditam que os hackers estavam interessados em roubar credenciais e garantir acesso persistente e furtivo no sistema das vítimas, provavelmente para fins de espionagem.
Este conteúdo pode conter links de compra.
Fonte: link