Sandro Sana : 26 Luglio 2025 10:07
Il panorama delle minacce non dorme mai, ma stavolta si è svegliato con il botto. Il 18 luglio 2025, l’azienda di sicurezza Eye Security ha lanciato un allarme che ha subito trovato eco nel mondo cyber: è in corso una campagna massiva di exploit contro i server SharePoint on-premises, usando una nuova catena di vulnerabilità battezzata ToolShell, fondata su due CVE freschi freschi di catalogo: CVE-2025-53770 e CVE-2025-53771
L’attacco è tutt’altro che teorico: ha già colpito università, aziende energetiche, migliaia di PMI e, secondo il Washington Post, almeno due agenzie federali USA. Si tratta di una catena RCE (Remote Code Execution) non autenticata, che sfrutta versioni esposte pubblicamente di SharePoint e, cosa ancor più grave, è in grado di bypassare le patch precedenti legate a exploit mostrati al Pwn2Own Berlin 2025.
I due nuovi CVE, in realtà, sono evoluzioni mutanti di una precedente catena di exploit: CVE-2025-49704 e CVE-2025-49706. In quella circostanza, l’exploit partiva da un bypass dell’autenticazione per arrivare a un’esecuzione remota di codice. Microsoft intervenne con una patch… che però si è rivelata un cerotto su una ferita ancora infetta.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber
«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi».
Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
CVE-2025-53770 reintroduce la falla di deserializzazione che consente la RCE, mentre CVE-2025-53771 ripristina l’autenticazione bypassata. In pratica, ToolShell è un replay migliorato del vecchio attacco, con una nuova verniciata e una maggiore efficacia.
A peggiorare il quadro: le installazioni vulnerabili non sono poche. Shodan ne conta oltre 16.000 esposte pubblicamente, principalmente negli Stati Uniti, seguite da Iran, Malesia, Olanda e Irlanda. E molti server, come spesso accade, continuano a esporre dettagli di versione negli header HTTP, offrendo ai threat actor esattamente ciò di cui hanno bisogno per colpire chirurgicamente.
Una volta compromesso, ToolShell permette di estrarre le chiavi crittografiche di SharePoint (ValidationKey e DecryptionKey), consentendo l’accesso persistente al sistema anche dopo l’applicazione delle patch. Come se non bastasse, la natura centralizzata di SharePoint, spesso integrato con Outlook, Teams, OneDrive e Active Directory — apre la porta a un’esfiltrazione dati su larga scala e alla compromissione di intere infrastrutture collaborative aziendali.
È un attacco silenzioso e profondo, come il morso di un serpente velenoso: dopo l’iniziale RCE, vengono installate web shell persistenti, raccolte credenziali, e se possibile, effettuata lateralizzazione all’interno della rete.
Secondo il sandbox report associato al sample [SHA256: 1116231836ce7c8c64dd86027b458c3bf0ef176022beadfa01ba29591990aee6], l’exploit esegue un file ASP (“spinstall0.asp”) che è responsabile del drop della webshell. Il comportamento osservato include l’enumerazione dei dispositivi fisici di storage e l’invocazione di comandi via cmd.exe, confermando le capacità di persistence e reconnaissance.
Il report MITRE ATT&CK allega la catena a ben 14 tattiche tra cui Initial Access, Execution, Privilege Escalation, Credential Access e Command and Control, una vera sinfonia dell’intrusione avanzata.
Mentre SharePoint on-prem diventa bersaglio preferito dei threat actor, la versione cloud SharePoint Online resta immune. Il perché è chiaro: patching centralizzato, threat hunting automatico, controllo continuo e minore esposizione. La differenza tra on-prem e SaaS in termini di sicurezza non è mai stata così visibile.
Come a dire: chi ha scelto il cloud ha preso l’ombrello prima della tempesta.
Microsoft ha rilasciato aggiornamenti d’emergenza nel patch Tuesday di luglio e ha pubblicato specifiche raccomandazioni: applicare le patch (se disponibili), abilitare l’AMSI, usare Defender, e, dettaglio importantissimo, ruotare le chiavi ASP.NET per spezzare la persistenza post-exploit. Tuttavia, SharePoint Server 2016 resta ancora senza una patch ufficiale al momento in cui scriviamo. Un incubo per chi non può migrare.
Parallelamente, Recorded Future ha creato un Nuclei template per rilevare CVE-2025-53770, utile per attività di threat hunting automatizzate. Il template sfrutta un endpoint /vti_pvt/service.cnf e analizza la build SharePoint esposta per rilevare versioni vulnerabili.
Un ulteriore elemento critico è che esiste già un proof-of-concept pubblicato su GitHub, cosa che ha sicuramente accelerato l’adozione dello sfruttamento da parte degli attori malevoli.
La vicenda ToolShell mette a nudo (di nuovo) il ritardo strutturale nella gestione dei sistemi on-premises, specie in aziende e PA con infrastrutture legacy, dove il patching non è né rapido né costante. Ma va anche oltre: ci sbatte in faccia la cruda realtà di una gestione superficiale della superficie di esposizione e della visibilità interna.
Chi gestisce infrastrutture SharePoint esposte dovrebbe agire immediatamente: patch dove disponibili, isolamento dei sistemi vulnerabili, controllo dei log, ricerca di webshell, e soprattutto, un riesame strategico delle scelte infrastrutturali. È il momento di smettere di trattare la sicurezza come una check-list e cominciare a considerarla un processo vivo, continuo, e, se serve, doloroso.
Chi resta fermo in questo momento… sta già arretrando.
Sandro SanaSembra che gli Stati Uniti abbiano già seriamente preso in considerazione il concetto di guerra autonoma. Il jet da combattimento autonomo della DARPA , risulta in grado di combattere senza pilot...
CrowdStrike ha pubblicato il suo Global Threat Report 2025, che documenta un balzo in avanti nel comportamento dei criminali informatici e dei gruppi statali. Gli esperti definiscono il 2024 “l...
Solamente due settimane fa, il robot umanoide prodotto da Figure ha destato in noi grande meraviglia, quando con destrezza ha preso degli indumenti da un paniere dei panni sporchi e li ha collocati al...
Il team di ricerca di Trustwave SpiderLabs ha identificato una nuova ondata di attacchi EncryptHub che combinano l’errore umano e lo sfruttamento di una vulnerabilità nella Microsoft Manag...
Gli aggressori hanno iniziato a utilizzare un trucco insolito per mascherare i link di phishing, facendoli apparire come indirizzi di Booking.com. La nuova campagna malware utilizza il carattere hirag...
