Passa ai contenuti principali

SharePoint di Microsoft nel mirino. Cronaca di un attacco ransomware globale coordinato dalla Cina

L'attacco che ha colpito Microsoft SharePoint nel luglio 2025 rappresenta uno degli episodi più rilevanti dell'anno nel panorama della sicurezza informatica. Come spesso accade, tutto è iniziato nel silenzio: nei primi giorni del mese, alcuni server SharePoint on-premises hanno cominciato a manifestare comportamenti anomali. Solo più tardi si è compreso che si trattava dell'inizio di una campagna di attacchi mirati che avrebbe coinvolto almeno tre gruppi di hacker collegati allo Stato cinese: Linen Typhoon, Violet Typhoon e Storm-2603.

Microsoft ha pubblicato una prima comunicazione tecnica l'8 luglio, accompagnata da una patch per due vulnerabilità note, CVE-2025-49704 e CVE-2025-49706, inizialmente ritenute sufficienti. Tuttavia, già dal 7 luglio erano stati osservati exploit attivi contro versioni vulnerabili di SharePoint installate in locale, e nei giorni successivi è emerso che le patch non coprivano nuove varianti dell'attacco che sfruttavano ulteriori falle non ancora documentate.

Il 18 luglio, l'attacco ha preso una piega più aggressiva, con la comparsa di web shell caricate nei server e la compromissione delle chiavi macchina dei sistemi, consentendo movimento laterale all'interno delle infrastrutture colpite.

Il 19 e 20 luglio, Microsoft ha rilasciato aggiornamenti più completi, includendo le vulnerabilità CVE-2025-53770 e CVE-2025-53771.Nel frattempo, l'intelligence statunitense e agenzie di sicurezza europee come ENISA e CERT-EU hanno emesso comunicati di emergenza, consigliando agli amministratori di isolare i sistemi compromessi, eseguire controlli forensi e solo successivamente applicare le patch.

Il 22 luglio Microsoft ha pubblicato un lungo rapporto sul blog di Threat Intelligence, in cui ha confermato con "alta fiducia" l'origine cinese dell'attacco e la presenza di almeno tre gruppi coinvolti. Storm-2603, in particolare, ha mostrato un'evoluzione tattica, passando dallo spionaggio all'uso di ransomware come Warlock, oltre al più noto LockBit.

Il 23 luglio, la stampa americana ha reso noto che tra le vittime vi erano anche enti governativi ad alta criticità, come il Dipartimento dell'Energia degli Stati Uniti, il National Institutes of Health, la National Nuclear Security Administration, e altre agenzie federali. Sono stati colpiti oltre 400 server in tutto il mondo, con vittime in USA, Germania, Paesi Bassi, Emirati Arabi e altre nazioni.

Il giorno successivo, 24 luglio, Microsoft ha confermato che l'attacco si era evoluto in una campagna ransomware attiva su scala globale. La complessità tecnica dell'azione, il numero elevato di CVE sfruttate, l'uso di tecniche di persistenza avanzata e la capacità di muoversi lateralmente all'interno delle reti aziendali indicano una preparazione sofisticata e una strategia a lungo termine.

Ciò che più colpisce, però, è la vulnerabilità ancora oggi diffusa nei sistemi on-premises, spesso non aggiornati, poco monitorati, considerati "stabili" e dunque abbandonati nella routine operativa. In Italia, dove molte amministrazioni pubbliche utilizzano SharePoint in modalità locale, l'allerta è alta anche se al momento non risultano compromissioni note. Questo attacco deve essere uno spartiacque per chi si occupa di sicurezza informatica a livello aziendale e istituzionale: non solo occorre aggiornare tempestivamente, ma anche sviluppare una cultura della resilienza digitale, dove ogni nodo della rete sia costantemente valutato, controllato, isolato se necessario. La difesa è un processo, non un prodotto. Microsoft ha fornito linee guida dettagliate, inclusa la rotazione delle machine key, il riavvio dei servizi IIS, l'attivazione del modulo AMSI e l'uso avanzato di Defender. Ma la responsabilità di proteggere le proprie infrastrutture, soprattutto se critiche, resta nelle mani di chi le gestisce ogni giorno. E gli attori malevoli, come abbiamo visto, non aspettano che sia troppo tardi.

Commenti

Popolari

IPv6, come siamo passati dai camuffamenti (tunnel broker) su IRCNet alle sfide di sicurezza di oggi

All’inizio degli anni 2000, prima che l’IPv6 fosse una realtà comune, per connettersi alla nuova rete servivano i tunnel broker: nodi messi in piedi da appassionati o provider che permettevano di avere un indirizzo IPv6 incapsulato dentro IPv4. In Italia c’erano nomi che oggi sembrano quasi leggendari: NGnet, Zibibbo, e poi, su scala più internazionale, SixXS, che per anni ha fornito tunnel di altissima qualità fino a dichiarare “mission accomplished” e chiudere nel 2017. Erano anni in cui IPv6 era roba da smanettoni, e la comunità IRCNet italiana era uno dei posti dove questo “potere” trovava applicazioni creative. Personalmente lo usavo per camuffare il mio IPv4: mentre con un indirizzo 95.x.x.x il server IRC mostrava il reverse DNS dell’ISP, con IPv6 potevo scegliere il mio indirizzo nel blocco assegnato, evitando di esporre il mio IP reale e cambiandolo a piacere. In quel periodo circolavano anche strumenti curiosi, come ipv6fuck.c dell’autore “schizoid”, un codice C che serviva pe...

WinRAR sotto attacco, zero-day critica sfruttata da hacker russi

Il 10 agosto 2025 è stata resa pubblica la vulnerabilità CVE-2025-8088 di WinRAR, una falla di tipo directory traversal già sfruttata in attacchi mirati da RomCom, gruppo hacker legato alla Russia e noto per operazioni di cyber-spionaggio ed estorsione. Il problema risiede nella gestione dei percorsi all’interno di archivi compressi: un file RAR malevolo può includere riferimenti a directory specifiche del sistema, forzando WinRAR a estrarre file in percorsi diversi da quelli scelti dall’utente. In particolare, è possibile copiare eseguibili nelle cartelle di avvio automatico di Windows, come %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup o %ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp. Alla successiva accensione del PC, il malware viene avviato in automatico, ottenendo così persistenza sul sistema e potenzialmente consentendo il controllo remoto. Gli attacchi osservati sono stati condotti tramite campagne di spear-phishing: le vittime ricevevano email contenenti...

Nuovo attacco agli ambienti ibridi Microsoft, l’allarme lanciato a Black Hat. Active Directory ed Entra ID sotto esame, la tecnica che sfida MFA e controlli tradizionali

A Black Hat USA 2025 è stata mostrata una lezione dura ma utile per chiunque gestisca identità e mail aziendali: un ricercatore ha dimostrato come, in certi ambienti ibridi che sincronizzano Active Directory locale con Microsoft Entra ID (ex Azure AD), un account cloud apparentemente a bassa priorità possa essere trasformato in un account “ibrido” con privilegi amministrativi, senza passare dalle normali barriere di autenticazione e senza far scattare gli allarmi tradizionali. La dimostrazione — presentata da Dirk-jan Mollema di Outsider Security — ha messo in luce vettori di abuso legati al server di sincronizzazione (Entra Connect), alle modalità di corrispondenza degli account tra on-prem e cloud (soft matching) e a token/claim usati nei meccanismi di delega e in Exchange ibrido. Per chi non mastica quotidianamente questi termini: molte aziende hanno ancora un Active Directory “dentro l’azienda” per utenti e servizi, e allo stesso tempo usano servizi cloud come Microsoft 365. Per fa...