Storm-2603 explora vulnerabilidades do SharePoint e preserva acesso clandestino após as correções
Corrigir uma falha crítica é uma medida urgente, mas nem sempre basta para encerrar uma invasão. Uma investigação da Kaspersky sobre uma operação atribuída ao grupo Storm-2603 mostra como criminosos podem explorar servidores SharePoint vulneráveis, instalar mecanismos alternativos de acesso e continuar dentro da rede mesmo depois que a brecha inicial é corrigida.
O caso analisado ocorreu em dezembro de 2025 e envolveu vulnerabilidades conhecidas como ToolShell, identificadas pelas CVE-2025-53770 e CVE-2025-53771. Segundo os pesquisadores, a exploração de servidores SharePoint expostos à internet foi apenas o primeiro passo. Depois de obter acesso, os invasores buscaram manter o controle do ambiente por diferentes meios, reduzindo a dependência da falha original.
Código malicioso dentro de um processo legítimo
Após comprometer o servidor, o grupo executou atividades no contexto de `w3wp.exe`, processo do IIS usado para hospedar aplicações web. Ao operar dentro de um componente legítimo, o código malicioso pode se misturar à atividade normal do servidor e escapar de verificações voltadas apenas a arquivos suspeitos.
A análise descreve também o uso de um componente ASP.NET carregado na memória por meio de `VirtualPathProvider`. Entre os elementos identificados estão o método `GetCacheKey()` e um componente chamado `G.cs`, usados para acionar a execução. A lógica levava em conta características de requisições HTTP, como o campo `User-Agent`, e recorria a ofuscação com XOR para dificultar a compreensão do código.
Esse método é associado à execução *fileless*: em vez de depender de um executável convencional gravado em disco, o invasor utiliza a memória de um processo já existente. Isso não torna a atividade impossível de detectar, mas exige que a investigação vá além de uma varredura de arquivos. Registros do IIS, eventos de processo, conexões de rede e alterações incomuns no comportamento do servidor podem fornecer sinais importantes.
Ferramentas legítimas também podem ser usadas em ataques
Depois da invasão inicial, os operadores procuraram ampliar os privilégios e criar caminhos adicionais de controle. A Kaspersky relata técnicas semelhantes às associadas ao EfsPotato e o uso de ferramentas que também podem aparecer em tarefas administrativas legítimas: Cloudflare Tunnel, Zoho Assist, a linha de comando do Visual Studio Code e Velociraptor, incluindo a versão 0.73.4.0. A investigação menciona ainda a CVE-2025-6264 no contexto da atividade analisada.
A presença isolada de um desses programas não comprova comprometimento. O que importa é avaliar o conjunto: quem instalou a ferramenta, em que horário, com quais permissões, de onde veio o arquivo e que conexões ou comandos foram executados. Um software conhecido pode ser usado de forma maliciosa quando aparece sem justificativa operacional ou fora dos processos habituais da empresa.
O Cloudflare Tunnel merece atenção porque cria conexões de saída que podem disponibilizar serviços sem exigir uma porta de entrada diretamente exposta à internet. Em um servidor invadido, esse recurso pode manter um canal de comunicação com os operadores mesmo após alterações nas regras do firewall. Ferramentas de assistência remota e desenvolvimento também podem servir para executar comandos, transferir arquivos ou recuperar o acesso quando outro mecanismo é interrompido.
Por que aplicar a atualização não basta
Um patch corrige a vulnerabilidade explorada, mas não remove automaticamente o que já foi implantado no sistema. Túneis, serviços, tarefas agendadas, sessões remotas, credenciais roubadas e componentes residentes na memória podem continuar ativos. Por isso, atualizar o SharePoint é indispensável, mas deve fazer parte de uma resposta mais ampla ao incidente.
As organizações que utilizam SharePoint precisam primeiro identificar todos os servidores afetados e confirmar que as correções foram aplicadas corretamente. Também é importante verificar se existem instâncias esquecidas, acessíveis pela internet ou fora do processo normal de atualização. A exposição de um servidor não corrigido pode oferecer aos invasores uma nova oportunidade de entrada, mesmo que o ambiente principal já tenha sido atualizado.
Em seguida, a equipe de segurança deve investigar o período anterior à aplicação do patch. A análise precisa buscar processos e módulos anormais ligados ao IIS, alterações inesperadas em componentes web, conexões de saída incomuns e instalações recentes de ferramentas de acesso remoto. Revisar apenas o estado atual do servidor pode não revelar atividades que ocorreram antes da correção.
Credenciais usadas no ambiente comprometido também devem ser tratadas como potencialmente expostas. Isso inclui contas administrativas, contas de serviço e acessos remotos. A troca de senhas, a revogação de sessões e a revisão de privilégios ajudam a impedir que um invasor volte a entrar usando credenciais já capturadas.
Se houver indícios de persistência ou de movimentação para outros sistemas, pode ser necessário isolar o servidor afetado enquanto a investigação avança. A contenção deve considerar os impactos sobre os serviços da organização, mas manter uma máquina suspeita conectada sem monitoramento pode permitir que a atividade continue ou alcance outros ativos.
O episódio atribuído ao Storm-2603 reforça uma distinção essencial: corrigir a vulnerabilidade interrompe uma rota de exploração conhecida; confirmar que o invasor foi removido exige examinar o que aconteceu depois da invasão. Para reduzir o risco de recorrência, as empresas precisam combinar atualização, monitoramento de comportamento, controle de ferramentas remotas e uma investigação completa dos sistemas afetados.