Mastodawn

CyberVeille.ch Sep 26, 2025

📢 Microsoft DART neutralise deux attaques sophistiquées visant le retail via failles SharePoint
📝 Source: Microsoft Security Blog — Microsoft décrit...
📖 cyberveille : https://cyberveille.ch/posts/2025-09-25-microsoft-dart-neutralise-deux-attaques-sophistiquees-visant-le-retail-via-failles-sharepoint/
🌐 source : https://www.microsoft.com/en-us/security/blog/2025/09/24/retail-at-risk-how-one-alert-uncovered-a-persistent-cyberthreat/
#CVE_2025_49706 #Microsoft_DART #Cyberveille

Microsoft DART neutralise deux attaques sophistiquées visant le retail via failles SharePoint

Source: Microsoft Security Blog — Microsoft décrit l’intervention de son équipe DART pour contenir deux cyberattaques sophistiquées ciblant des organisations du secteur retail. Les assaillants ont exploité des vulnérabilités SharePoint (CVE-2025-49706, CVE-2025-49704) pour déposer des web shells ASPX, conduisant à de la spoofing d’identité et de l’injection de code à distance. L’objectif opérationnel incluait la prise de contrôle d’identités et la persistance dans l’environnement cible. ⚠️ Pour maintenir la présence malveillante, les acteurs ont utilisé Azure Virtual Desktop, RDP, PsExec et des outils de proxy/tunneling comme Teleport et Rsocx, signe d’un enchaînement TTPs visant mobilité latérale et évasion. 🧭

CyberVeille

CyberVeille.ch Aug 27, 2025

📢 Chaîne « ToolShell » : exploitation active de SharePoint on‑prem pour contournement d’authentification et RCE par des acteurs chinois
📝 ...
📖 cyberveille : https://cyberveille.ch/posts/2025-08-10-chaine-toolshell-exploitation-active-de-sharepoint-on-prem-pour-contournement-dauthentification-et-rce-par-des-acteurs-chinois/
🌐 source : https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/echoes-in-the-shell-legacy-tooling-behind-ongoing-sharepoint-toolshell-exploitation/
#CVE_2025_49706 #CVE_2025_53770 #Cyberveille

Chaîne « ToolShell » : exploitation active de SharePoint on‑prem pour contournement d’authentification et RCE par des acteurs chinois

Selon Trustwave SpiderLabs, une campagne baptisée « ToolShell » cible massivement des serveurs Microsoft SharePoint on‑premises via une chaîne de quatre vulnérabilités, dont CVE-2025-49706 et CVE-2025-53770, permettant un contournement d’authentification puis une exécution de code à distance (RCE). Des acteurs étatiques chinois, notamment Linen Typhoon et Violet Typhoon, exploitent activement ces failles pour obtenir et maintenir un accès persistant. 🚨 Le point d’entrée consiste à exploiter CVE-2025-49706 au moyen de requêtes POST spécialement conçues vers /_layouts/{version}/ToolPane.aspx?DisplayMode=Edit, combinées à des en‑têtes Referer manipulés pour bypasser l’authentification. Les attaquants déploient ensuite des pages ASPX malveillantes (ex. spinstall0.aspx) afin d’extraire des clés cryptographiques SharePoint.

CyberVeille

The Threat Codex Jul 22, 2025

Disrupting active exploitation of on-premises SharePoint vulnerabilities
#LinenTyphoon #VioletTyphoon #Storm_2603 #CVE_2025_53770 #CVE_2025_49704 #CVE_2025_53771 #CVE_2025_49706
https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/

Disrupting active exploitation of on-premises SharePoint vulnerabilities | Microsoft Security Blog

Microsoft has observed two named Chinese nation-state actors, Linen Typhoon and Violet Typhoon, exploiting vulnerabilities targeting internet-facing SharePoint servers. In addition, we have observed another China-based threat actor, tracked as Storm-2603, exploiting these vulnerabilities. Microsoft has released new comprehensive security updates for all supported versions of SharePoint Server (Subscription Edition, 2019, and 2016) that protect customers against these new vulnerabilities. Customers should apply these updates immediately to ensure they are protected.

Microsoft Security Blog

The Threat Codex Jul 21, 2025

ToolShell: Critical SharePoint Zero-Day Exploited in the Wild
#CVE_2025_53770 #CVE_2025_53771 #CVE_2025_49706
https://www.security.com/threat-intelligence/toolshell-zero-day-sharepoint-cve-2025-53770

ToolShell: Critical SharePoint Zero-Day Exploited in the Wild

Symantec products already block CVE-2025-53770 exploit attempts.