SharePoint Server Zero-Day aktiv ausgenutzt: CISA warnt vor Diebstahl von IIS-Schlüsseln zum Überleben von Patches

Angreifer nutzen aktiv Schwachstellen in SharePoint Server on-premises aus, um Farm-Administrator-Rechte zu erlangen, und stehlen die IIS-Maschinenschlüssel, um ihren Zugriff auch nach der Anwendung eines Patches aufrechtzuerhalten.

Was passiert gerade

Die CISA (Cybersecurity and Infrastructure Security Agency) hat eine Warnung vor aktiver Ausnutzung von Schwachstellen in SharePoint Server on-premises – lokalen Installationen, nicht SharePoint Online (Microsoft 365) – herausgegeben. Angreifer zielen auf CVE ab, die es ermöglichen, Farm-Administrator-Rechte zu erlangen, den höchsten Zugriffsebenen in einer SharePoint-Farm.

Ein dokumentiertes Merkmal dieser Kampagne: Die Angreifer stehlen die IIS-Maschinenschlüssel (Internet Information Services), um ihre Persistenz zu sichern. Diese Schlüssel ermöglichen das Entschlüsseln von Windows-Authentifizierungstokens und das Erstellen neuer gültiger Tokens – was bedeutet, dass ein Angreifer ein Patch überleben kann, wenn die Schlüssel nach der Behebung nicht neu generiert werden.

Wer ist betroffen

Nur SharePoint Server on-premises. Betroffen sind große Unternehmen, Behörden und Institutionen, die ihre eigene SharePoint-Farm betreiben, ohne auf Microsoft 365 migriert zu haben.

Fakten vs. Analyse

Fakten:

• Aktive Ausnutzung durch die CISA bestätigt
• Vektor: CVE, die auf Farm-Admin-Rechte in SharePoint on-premises abzielen
• Dokumentierte Persistenztechnik: Diebstahl der IIS-Maschinenschlüssel

Analyse: Die Technik des Diebstahls der IIS-Schlüssel ist besonders heimtückisch. Ein einfaches Patchen reicht nicht aus, um einen Angreifer zu entfernen, der die Schlüssel bereits gestohlen hat: Er kann weiterhin gültige Tokens fälschen, solange die Schlüssel nicht neu generiert werden. Dies ist eine Persistenz, die wochenlang nach der Behebung aktiv bleiben kann, wenn dieser Punkt übersehen wird.