Nuclear Weapons Agency und Health Agency kompromittiert Staatliche chinesische Hacker nutzen ToolShell-Exploit aus

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Die Untersuchungen des SharePoint-Exploits laufen. Mittlerweile ist klar, dass die Nuklearwaffen- und die Gesundheitsbehörde der USA darüber angegriffen wurden. Außerdem entdeckte Microsoft, das staatlich unter­stützte chinesische Hackergruppen die Sicherheitslücke ebenfalls nutzen.

Seit am 18. Juli die ToolShell-Sicherheitslücke in Microsoft SharePoint gefunden wurde, herrscht Aufruhr in der Security-Welt. Während Systemadmins ihre Systeme patchen und ihre Machine Keys rotieren müssen, sind Forensiker und Sicherheitsunternehmen daran, herauszufinden, welche Akteure den Exploit für Cyberangriffe nutzen.

Update: Patches und erste Untersuchungserbenisse

0-Day in SharePoint wird weltweit für Angriffe genutzt

Nuklear- und Gesundheitsbehörde kompromittiert

Mehrere hundert Behörden und Organisationen weltweit sind mittlerweile angegriffen worden. Das Security-Unternehmen Eye Security hat den Exploit zuerst entdeckt. Die Experten von Eye gehen davon aus, dass die Zahl der Opfer im Laufe der Untersuchungen weiter steigen werde. Die Mehrzahl der anfälligen SharePoint-Server befindet sich in den USA, darunter auch zwei US-Behörden. Der Washington Post zufolge handelt es sich dabei um die National Nuclear Security Administration (NNSA) und das National Institutes of Health.

Studie zur Resilienz kritischer Infrastrukturen

Versorgungsunternehmen im Visier nationalstaatlicher Hacker

Analyse der chinesischen Angreifer

Microsoft selbst gab an, dass chinesische Bedrohungsakteure die Sicherheitslücken in Share­Point ausgenutzt haben. Dazu gehören die von chinesischen Staat unterstützten Hacker­grup­pen „Linen Typhoon“ und „Violet Typhoon“ sowie die ebenfalls in China ansässige Gruppe „Storm­2603“. Alle drei Gruppen würden die ToolShelle-Schwachstelle ausnutzen, um Ran­somware zu verbreiten. Angesichts der schnellen Verbreitung der Exploits geht Microsoft davon aus, dass Cyberkriminelle sie auch weiterhin in ihre Angriffe auf ungepatchte lokale Share­Point-Systeme integrieren werden.

Mithilfe von Sicherheitslücken in Ivanti EPMM

Chinesische Hacker greifen KRITIS-Unternehmen in Europa an

Microsoft veröffentlichte Informationen über diese Gruppen, die auf seinen eigenen Unter­suchungsergebnissen beruhen. Der Hersteller hat festgestellt, dass mehrere Angreifergruppen systematisch versucht haben, lokal betriebene SharePoint-Server anzugreifen. Dabei kam vor allem ein POST-Request zum Einsatz. Dies ist ein HTTP-Befehl zum Senden von Daten an einen Server, der an einen speziellen ToolPane-Endpunkt in SharePoint gerichtet ist. Auf diese Weise gelang es den Angreifern, eine Authentifizierungsumgehung (Bypass) und anschließend eine Remote Code Execution (RCE) durchzuführen. In der Folge setzten sie eine Web Shell als Teil ihrer Payload ein. Laut Microsoft stimmen die beobachteten Vorgehensweisen mit den Tactics, Techniques and Procedures (TTPs) der Gruppen Linen Typhoon, Violet Typhoon und Storm-2603 überein.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

Linen Typhoon konzentriert sich seit 2012 auf den Diebstahl geistigen Eigentums und zielt dabei vor allem auf Organisationen aus dem Bereich Verteidigung, strategische Planung und Menschenrechte ab. Auch Regierungen würden oft von Linen Typhoon attackiert. Die Gruppe ist für Drive-by-Kompromittierungen bekannt. Dabei handelt es sich um eine besonders heim­tückische Art von Cyberangriff, bei der der Besuch einer gefälschten Webseite ausreicht, um ein System zu infizieren und das ohne, dass der Besucher aktiv etwas herunterlädt oder ausführt. Zudem hat Linen Typhoon bereits in der Vergangenheit bestehende Exploits für ihre Cyberangriffe ausgenutzt.

Violet Typhoon widmet sich seit 2015 der Spionage und zielt vor allem auf ehemalige Regier­ungs- und Militärangehörige, Nichtregierungsorganisationen, Think Tanks, Hochschulen, digitale und Printmedien sowie den Finanz- und Gesundheitssektor in den USA, Europa und Ostasien ab. Die Gruppe ist kontinuierlich auf der Suche nach Schwachstellen in öffentlich erreichbaren Websystemen und nutzt diese zur Installation von Web Shells aus.

China gerät unter Verdacht

Berichte über Hackerangriff auf die Washington Post

Unter dem Namen Storm-2603 verfolgt Microsoft eine Gruppe von Cyberakteuren, die ver­mut­lich von China aus arbeiten. Bisher konnte Microsoft keine Verbindungen zwischen Storm-2603 und anderen bekannten chinesischen Bedrohungsakteuren feststellen. Die Gruppe habe bereits öfter versucht, MachineKeys über lokale SharePoint-Sicherheitslücken zu stehlen. Seit dem 18. Juli 2025 beobachtet Microsoft, dass Storm-2603 ToolShell ausnutzt und Ransomware einsetzt.

Darüber hinaus veröffentlichte Microsoft eine Reihe von Indicators of Compromise, die Unternehmen dabei helfen sollen, festzustellen, ob sie von den beschrieben Bedroh­ungsakteuren angegriffen wurden:

Verantwortlich für Cyberangriffe auf die USA

So arbeitet die gefährliche Hackergruppe Salt Typhoon

(ID:50482925)