Un grupo de actores que se cree que están asociados con China ha explotado la vulnerabilidad ToolShell (CVE-2025-53770) en Microsoft SharePoint para realizar ataques dirigidos a agencias gubernamentales, universidades, proveedores de servicios de telecomunicaciones y organizaciones financieras. La organización Shadowserver rastrea actualmente más de 420 servidores SharePoint expuestos en línea que siguen siendo vulnerables a estos ataques.
Ataque al Campus de Seguridad Nacional de Kansas City
Debido a esta vulnerabilidad, un actor extranjero se infiltró en el Campus de Seguridad Nacional de Kansas City (KCNSC) de la Administración Nacional de Seguridad Nuclear. La falla afecta los servidores locales de SharePoint y fue revelada como activamente explotada el 20 de julio, después de que múltiples grupos de hackers vinculados a China lo aprovecharan en ataques generalizados. Microsoft lanzó actualizaciones de emergencia al día siguiente.
Vulnerabilidades y exploits
La vulnerabilidad está relacionada con la solución de CVE-2025-49706 y CVE-2025-49704, dos fallas que los investigadores de Viettel Cyber Security demostraron en la competencia Pwn2Own Berlin en mayo. Estas pueden ser aprovechadas remotamente sin autenticación para la ejecución de código y acceso completo al sistema de archivos.
Ataques a organizaciones internacionales
Microsoft confirmó que ToolShell fue explotado por tres grupos de amenazas chinos: Budworm/Linen Typhoon, Sheathminer/Violet Typhoon y Storm-2603/Warlock ransomware. Según un informe de Symantec, la vulnerabilidad también se utilizó para comprometer varias organizaciones en Medio Oriente, América del Sur, EE.UU. y África.
- Un proveedor de servicios de telecomunicaciones en Medio Oriente
- Dos departamentos gubernamentales en un país africano
- Dos agencias gubernamentales en Sudamérica
- Una universidad en los Estados Unidos
- Una agencia estatal de tecnología en África
- Un departamento gubernamental de Oriente Medio
- Una financiera europea
Proceso de ataque y herramientas utilizadas
Los atacantes utilizaron la vulnerabilidad para instalar webshells que permiten el acceso persistente. Luego cargaron una puerta trasera basada en Go llamada Zingdoor, seguida por el troyano ShadowPad y la eliminación de KrustyLoader. Los ataques también incluyeron herramientas como Certutil, GoGo Scanner y Revsocks.
Impacto en KCNSC
Los atacantes explotaron dos vulnerabilidades de SharePoint: CVE-2025-53770 (falla de suplantación de identidad) y CVE-2025-49704 (error de ejecución remota de código). Microsoft publicó correcciones para ambas el 19 de julio. La KCNSC, ubicada en Missouri, fue confirmada como una de las organizaciones afectadas por estos ataques.
El 80% de las piezas no nucleares del arsenal nuclear del país proceden del KCNSC. Microsoft advirtió a los clientes que deben aplicar inmediatamente las actualizaciones de seguridad locales de SharePoint Server y seguir la guía de mitigación detallada en su blog.