SharePoint-Hacks: Laut Microsoft steckten drei China-Gruppen dahinter

Microsoft hat erklärt, dass die jüngsten Zero-Day-Exploits gegen SharePoint-Server von bekannten chinesischen Hackergruppen ausgingen. Bereits seit dem 7. Juli 2025 beobachtete man demnach Aktivitäten der Gruppen Linen Typhoon und Violet Typhoon.

Alte Bekannte

Diese Organisationen hätten sich Zugriff auf ungepatchte Systeme verschafft, hieß es in einem neuen Bericht Microsofts zur Auswertung der jüngsten Probleme. Zudem wurde eine dritte, bislang weniger bekannte Gruppe mit dem Codenamen Storm-2603 identifiziert, die ebenfalls von den Schwachstellen Gebrauch macht.

Den Angreifern gelingt es laut Microsoft, über manipulierte Anfragen an sogenannte ToolPane-Endpunkte eine Authentifizierung zu umgehen und Schadcode auszuführen. Dabei nutzen sie Sicherheitslücken aus, die aus unvollständigen Patches für die Schwachstellen CVE-2025-49706 (Spoofing) und CVE-2025-49704 (Remote Code Execution) resultieren. Die Umgehungsmechanismen wurden unter den Kennungen CVE-2025-53771 und CVE-2025-53770 dokumentiert.


Die Kompromittierung erfolgt häufig durch das Einschleusen einer Web-Shell namens spinstall0.aspx, die in verschiedenen Varianten eingesetzt wird. Diese erlaubt den Angreifern unter anderem das Auslesen sensibler MachineKey-Daten. Der IT-Sicherheitsforscher Rakesh Krishnan konnte im Zuge forensischer Analysen drei ungewöhnliche Prozesse innerhalb des Microsoft Edge-Browsers identifizieren, die offenbar zur Verschleierung der Aktivitäten und zur Umgehung von Sicherheitsmechanismen dienen. Die Angriffe imitieren legitime Systemprozesse und tarnen sich geschickt als harmlose Updates.

Absicherung nötig

Laut Microsoft ist mit einer fortlaufenden Nutzung dieser Exploits zu rechnen - insbesondere bei Systemen, die nicht zeitnah abgesichert werden. Unternehmen werden daher dringend aufgefordert, aktuelle Sicherheitsupdates für SharePoint Server 2016, 2019 und die Subscription Edition einzuspielen, die betroffenen Machine Keys zu rotieren und Internet Information Services (IIS) neu zu starten. Zusätzlich sollten Schutzlösungen wie Microsoft Defender for Endpoint sowie die Antimalware Scan Interface (AMSI) in der Vollmodus-Konfiguration eingesetzt werden.

Die jüngste Entdeckung reiht sich ein in eine Serie chinesisch gesteuerter Cyberangriffe. Bereits 2021 war Microsoft Ziel einer massiven Angriffswelle durch die Gruppe Silk Typhoon (auch bekannt als Hafnium), bei der Exchange-Server über mehrere Zero-Day-Lücken kompromittiert wurden. Erst Anfang Juli wurde ein 33-jähriger Chinese in Italien verhaftet, dem die Beteiligung an diesen früheren Angriffen zur Last gelegt wird.


Siehe auch: