In 2025 werd een fileless aanval op on-premises Microsoft SharePoint uitgevoerd door Storm-2603, met ransomware inzet na exploitatie van ToolShell CVE's.
In 2025 maakten meerdere dreigingsactoren gebruik van de ToolShell-kwetsbaarheden CVE-2025-53770 en CVE-2025-53771 in on-premises Microsoft SharePoint om remote code execution (RCE) te realiseren via speciaal vervaardigde HTTP-verzoeken. Eén van deze actoren, Storm-2603, zette na succesvolle exploitatie ransomware in op de systemen van het slachtoffer. Microsoft heeft deze ransomware-activiteiten toegeschreven aan Storm-2603, waarmee deze groep zich onderscheidt van andere aanvallers die vooral gericht waren op credential theft, spionage en datadiefstal zoals Microsoft aangeeft.
Een retrospectieve analyse in december toonde aan dat Storm-2603 gebruikmaakte van het IIS worker process (w3wp.exe) als een in-memory brug naar de infrastructuur van het slachtoffer. Hierdoor bleef de toegang en controle volledig in het geheugen zonder dat er iets op de schijf werd geschreven. Hoewel latere post-exploitatieactiviteiten wel sporen op de schijf achterlieten, bleef de toegang via deze geheugenbrug behouden. De aanval bestond uit twee fasen met een strategische tijdsvertraging tussen initiële toegang en daadwerkelijke exploitatie.
Op 20 december vond een kwetsbaarheidsfingerprinting plaats via een HTTP-verzoek naar een SharePoint-administratief eindpunt dat verband houdt met de ToolPane-component. Dit verzoek kwam van infrastructuur die gelinkt is aan ONYPHE, een platform dat actief controleert of systemen kwetsbaar zijn, in tegenstelling tot tools die alleen lijsten van assets en bekende kwetsbaarheden bieden zoals ONYPHE zelf beschrijft. Na deze eerste scan volgde een stilteperiode van drie dagen, mogelijk om detectie te voorkomen. Op kerstavond werd de volledige RCE-keten uitgevoerd via het IIS worker process op hetzelfde eindpunt als de initiële scan. Pas op 26 december werd het incident ontdekt, mede doordat de aanvankelijke scan niet direct werd gekoppeld aan de latere kwaadaardige activiteiten.
Deze aanvalsmethode toont het gebruik van fileless technieken waarbij de aanvaller het geheugen gebruikt om controle te behouden, wat detectie bemoeilijkt. De inzet van ransomware door Storm-2603 na exploitatie van de ToolShell-kwetsbaarheden onderstreept het belang van het tijdig patchen van SharePoint-omgevingen en het monitoren van ongebruikelijke activiteiten binnen IIS-processen.
