Storm-2603 explora falhas do SharePoint e mantém acesso clandestino após a correção
Corrigir uma vulnerabilidade é essencial, mas nem sempre basta para encerrar um ataque. Uma investigação sobre uma invasão atribuída ao grupo Storm-2603 mostra como criminosos podem usar falhas do Microsoft SharePoint para entrar em uma rede e, depois, instalar formas alternativas de acesso remoto. Assim, mesmo quando o sistema recebe uma atualização, a presença do invasor pode continuar ativa.
O incidente foi analisado em dezembro de 2025. Segundo os pesquisadores, a operação começou com a exploração de falhas conhecidas como ToolShell, associadas às vulnerabilidades CVE-2025-53770 e CVE-2025-53771 em servidores SharePoint expostos. A invasão, porém, não se limitou a aproveitar essas brechas: depois da entrada, os atacantes buscaram ampliar privilégios e criar mecanismos para preservar o controle.
Execução maliciosa dentro de um processo legítimo
Após comprometer o servidor, o invasor executou componentes no contexto do processo w3wp.exe, usado pelo Internet Information Services (IIS) para hospedar aplicações web. Ao atuar dentro de um processo legítimo, a atividade maliciosa pode se misturar ao funcionamento habitual do servidor e escapar de verificações baseadas apenas na busca por arquivos suspeitos.
A análise descreve um componente ASP.NET carregado na memória por meio de VirtualPathProvider. Mecanismos como GetCacheKey() e um componente identificado como G.cs eram usados para acionar a execução. A lógica também levava em conta características das requisições HTTP, como o campo User-Agent, e recorria à ofuscação por XOR.
Essa abordagem é frequentemente chamada de execução fileless, pois reduz a dependência de arquivos convencionais gravados em disco. Isso não significa que o ataque seja impossível de detectar, mas muda os lugares em que a investigação deve se concentrar. A memória do processo web, os registros do IIS, os eventos de criação de processos e as conexões de rede podem fornecer indícios importantes.
Ferramentas comuns podem virar instrumentos de persistência
Depois de obter acesso, o Storm-2603 teria recorrido a técnicas associadas ao EfsPotato para ampliar privilégios e a ferramentas que também têm usos legítimos. Entre as citadas na investigação estão Cloudflare Tunnel, Zoho Assist, a interface de linha de comando do Visual Studio Code e Velociraptor. O relatório menciona ainda a versão 0.73.4.0 do Velociraptor e a CVE-2025-6264 no contexto examinado.
A presença de uma dessas ferramentas, isoladamente, não comprova uma invasão. Muitas são utilizadas por equipes de suporte, desenvolvimento ou segurança. O que deve levantar suspeita é o contexto: quem instalou o programa, em que horário, com quais permissões, a partir de qual origem e para executar quais ações.
O Cloudflare Tunnel merece atenção especial porque pode estabelecer conexões de saída para disponibilizar serviços sem abrir diretamente uma porta de entrada na rede. Em um servidor comprometido, isso pode oferecer ao invasor um canal de comunicação alternativo. Ferramentas de assistência remota e de desenvolvimento também podem facilitar a execução de comandos, a transferência de arquivos e a retomada do acesso se outro canal for bloqueado.
Por que atualizar o SharePoint pode não ser suficiente
Um patch corrige a vulnerabilidade explorada, mas não apaga automaticamente o que o invasor instalou ou alterou antes da atualização. Túneis, serviços, tarefas agendadas, sessões remotas, componentes carregados na memória e credenciais roubadas podem continuar sendo usados. Por isso, tratar o problema apenas como uma atualização pendente deixa aberta a possibilidade de uma nova intrusão.
A resposta deve combinar correção e investigação. Além de aplicar as atualizações de segurança, é necessário verificar se houve exploração, identificar os sistemas afetados e procurar sinais de persistência. A equipe também deve analisar contas privilegiadas, conexões de saída incomuns e ferramentas de acesso remoto que não tenham sido autorizadas.
Se houver evidências de comprometimento, a organização deve considerar a contenção do servidor e a remoção dos mecanismos instalados pelo invasor. Também é recomendável redefinir credenciais potencialmente expostas, revisar tokens e sessões ativas e examinar outros equipamentos que possam ter sido alcançados a partir do SharePoint. A recuperação precisa ocorrer somente após confirmar que os caminhos de acesso indevido foram eliminados.
Como reduzir o risco de novos ataques
Servidores SharePoint acessíveis pela internet exigem acompanhamento rigoroso de atualizações e configurações. Sempre que possível, o acesso deve ser restrito a redes, usuários e dispositivos autorizados. A exposição de serviços desnecessários deve ser reduzida, assim como as permissões concedidas a contas administrativas.
As equipes de segurança também podem criar alertas para a instalação ou execução inesperada de ferramentas de suporte remoto, túneis e utilitários de administração. O monitoramento deve incluir processos do IIS, alterações em componentes da aplicação, eventos de autenticação e tráfego de saída. Como essas ferramentas podem ser legítimas, os alertas precisam ser avaliados junto com o histórico e a finalidade de cada atividade.
Por fim, é importante manter registros suficientes para reconstruir o incidente e realizar exercícios de resposta. O caso do Storm-2603 evidencia uma distinção fundamental: corrigir a falha fecha uma porta de entrada conhecida; confirmar que o invasor perdeu o acesso exige uma investigação mais ampla.