Het Amerikaanse cyberagentschap CISA heeft informatie gedeeld over malware die bij recente aanvallen tegen Microsoft SharePoint-servers is aangetroffen. Met de informatie kunnen organisaties kijken of hun SharePoint-servers zijn gecompromitteerd. Bij de aanvallen die in juli werden waargenomen maakten aanvallers volgens Microsoft misbruik van drie SharePoint-lekken: CVE-2025-49704, CVE-2025-49706 en CVE-2025-53770. Voor deze kwetsbaarheden kwam Microsoft met updates, alsmede voor een vierde SharePoint-lek aangeduid als CVE-2025-53771. Microsoft stelde dat deze kwetsbaarheid niet is misbruikt. Het CISA acht misbruik van dit lek wel waarschijnlijk, omdat het met CVE-2025-53770 is te combineren.

De kwetsbaarheden maken het mogelijk voor een remote ongeauthenticeerde aanvaller om code op de SharePoint-server uit te voeren. Bij de aanvallen werden verschillende webshells gebruikt. Via een webshell kan een aanvaller toegang tot een gecompromitteerd systeem behouden en verdere aanvallen uitvoeren. Daarnaast gebruikten de aanvallers ook malware om de machine key van de SharePoint-server te stelen. Met deze machine keys kan de aanvaller toegang behouden, ook wanneer de server is gepatcht.

De door het CISA gedeelde informatie bestaat uit namen, SHA-hashes en YARA-rules voor het detecteren van de malware. Het Amerikaanse cyberagentschap roept organisaties op de gegeven indicators of compromise (IOC's) en detection signatures te gebruiken bij het onderzoeken van hun eigen SharePoint-servers. Volgens securitybedrijf Eye Security zijn bij de aanvallen zo'n 400 servers van 145 verschillende organisaties gecompromitteerd.