در سال ۲۰۲۵، عامل تهدید Storm-2603 با بهره‌گیری از آسیب‌پذیری‌های CVE-2025-53770 و CVE-2025-53771 (موسوم به ToolShell) در نسخه‌های On-premises مایکروسافت SharePoint، موفق به اجرای کد از راه دور (RCE) از طریق درخواست‌های دستکاری‌شده HTTP شده است. برخلاف بسیاری از گروه‌ها که تمرکز خود را بر سرقت اطلاعات قرار می‌دهند، این عامل پس از نفوذ، اقدام به استقرار باج‌افزار (Ransomware) در سیستم‌های هدف کرده است.
زنجیره حمله و زمان‌بندی نفوذ
این حمله با یک استراتژی تأخیر هوشمندانه انجام شده تا احتمال شناسایی توسط تیم‌های SOC کاهش یابد:
- ۲۰ دسامبر (شناسایی آسیب‌پذیری): ارسال یک درخواست HTTP برای بررسی وجود آسیب‌پذیری ToolPane در هدف.
- ۲۱ تا ۲۳ دسامبر (تأخیر تاکتیکی): یک دوره سکوت سه روزه برای جلوگیری از شناسایی فعالیت‌های مشکوک.
- ۲۴ دسامبر (اجرای حمله): در زمان کاهش حضور پرسنل امنیتی (شب کریسمس)، زنجیره کامل RCE از طریق فرآیند w3wp.exe (IIS worker process) اجرا شد.
- ۲۶ دسامبر (کشف حادثه): شناسایی نفوذ پس از تحلیل‌های بازنگری‌شده.
معماری Webshell مبتنی بر حافظه (In-memory)
یکی از ویژگی‌های برجسته این حمله، استفاده از تکنیک Fileless است. مهاجم از فرآیند w3wp.exe به عنوان یک پل ارتباطی در حافظه استفاده کرد تا بدون نوشتن هیچ فایلی روی دیسک، دسترسی خود را حفظ کند. این Webshell از یک ساختار ماژولار در زبان C# بهره می‌برد که از طریق VirtualPathProvider در محیط ASP.NET ثبت می‌شود. این روش باعث می‌شود که ابزار مهاجم در لایه Runtime باقی بماند و با بازنشانی (Recycle) Application Pool از بین برود، اما تا آن زمان دسترسی کامل را فراهم می‌کند.
فعالیت‌های پس از نفوذ و تلاش برای توقف EDR
پس از تثبیت دسترسی، Storm-2603 اقدامات زیر را انجام داد:
- استفاده از Velociraptor: بهره‌برداری از نسخه آسیب‌پذیر این ابزار DFIR برای اجرای دستورات و جمع‌آوری داده‌ها.
- تلاش برای کشتن EDR: آپلود درایورهای مخرب (مانند
rsndispot.sys) و استفاده از تکنیک Sideloading برای غیرفعال کردن راهکارهای امنیتی. - استقرار باج‌افزار: تلاش برای اجرای باج‌افزار Warlock که در نهایت توسط ماژول‌های دفاع پیشگیرانه مسدود شد.
راهکارهای شناسایی برای تیم‌های دفاعی
برای شناسایی این نوع حملات پیچیده، تیم‌های امنیتی باید بر موارد زیر تمرکز کنند:
۱. شناسایی آثار Deserialization در CLR: نظارت بر بارگذاری اسمبلی‌های کمکی مانند Microsoft.GeneratedCode و App_Web_toolpane.aspx در یک بازه زمانی کوتاه، می‌تواند نشان‌دهنده تلاش برای سوءاستفاده از آسیب‌پذیری‌های Deserialization باشد.
۲. بررسی عدم تطابق در ETW: استفاده از تامین‌کننده Microsoft-Windows-IIS-Configuration برای شناسایی تضاد بین مسیرهای پیکربندی شده در IIS و فایل‌های موجود در سیستم‌فایل. اگر مسیری در IIS به عنوان یک منبع معتبر شناخته شود اما فایلی برای آن روی دیسک وجود نداشته باشد، نشان‌دهنده استفاده از VirtualPathProvider برای اجرای کدهای مخرب در حافظه است.
