Der IT-Sicherheitshersteller ESET warnt vor einer globalen Angriffswelle auf Microsoft SharePoint-Server. Ausgangspunkt war ein gezielter Angriff in Deutschland. Mehrere Zero-Day-Lücken ermöglichen es unter anderem chinesischen APT-Gruppen, sich tief in Unternehmensnetzwerke einzuschleusen.
Foto: ESET
Die geographische Verteilung der ToolShell Attacke vom 17. Juli - 22. Juli 2025
Foto: ESET
Andy Garth, Director of Government Affairs bei ESET
Am 17. Juli 2025 registrierte der IT-Sicherheitsanbieter ESET in Deutschland den ersten gezielten Cyberangriff auf Microsoft-SharePoint-Server, bei dem eine bislang unbekannte Sicherheitslücke ausgenutzt wurde. Nur einen Tag später weitete sich die Angriffswelle international aus. Hinter der Kampagne stehen nach Angaben von ESET auch staatlich unterstützte Gruppen aus China. Die Angriffskette, die intern bei ESET als „ToolShell“ bezeichnet wird, nutzt mehrere Zero-Day-Schwachstellen aus, um sich unbemerkt in Netzwerke einzuschleusen und dort Zugriff auf kritische Systeme zu erlangen.
Deutschland war das erste Land, in dem ESET eine versuchte Ausnutzung der neuen Sicherheitslücken in Microsoft SharePoint-Servern registrierte. Dieser Angriff am 17. Juli 2025 markiert aus Sicht der Analysten den Beginn einer globalen Kampagne. Laut Andy Garth, Director of Government Affairs bei ESET, startete die weltweite Ausbreitung der Angriffe bereits einen Tag später. Das gezielte Vorgehen deutet darauf hin, dass es sich nicht um zufällige Angriffe handelt, sondern um eine koordinierte Aktion mit politischem oder wirtschaftlichem Hintergrund. Besonders brisant ist laut ESET die Beteiligung staatlich unterstützter Gruppen. Rund 40 Prozent aller weltweit beobachteten zielgerichteten Cyberangriffe gehen demnach inzwischen auf das Konto von Gruppen, die mit chinesischen Staatsinteressen in Verbindung gebracht werden.
Diese sogenannten Advanced Persistent Threats (APTs) setzen gezielt auf neu entdeckte Schwachstellen in Softwareprodukten, um sich Zugang zu Regierungsnetzen, industriellen Steuerungssystemen und anderen sensiblen Infrastrukturen zu verschaffen. Die ToolShell-Kampagne zeigt exemplarisch, wie professionell organisiert und technisch ausgereift diese Angriffe ablaufen. Die eingesetzten Methoden wirken hoch automatisiert und ermöglichen eine unauffällige, aber tiefgehende Infiltration der betroffenen Netzwerke.
Im Mittelpunkt der Angriffskampagne steht die Ausnutzung mehrerer miteinander verknüpfter Sicherheitslücken in Microsofts SharePoint-Software. Dabei kommen unter anderem die Zero-Day-Lücken mit den Kennungen CVE-2025-53770 und CVE-2025-53771 zum Einsatz. Erstere ermöglicht Remote Code Execution, während letztere eine Spoofing-Schwachstelle adressiert. Ergänzt wird die Angriffskette durch zwei bereits zuvor bekannte und inzwischen gepatchte Schwachstellen mit den Kennungen CVE-2025-49704 und CVE-2025-49706.
Betroffen sind insbesondere lokal betriebene SharePoint-Server der Versionen 2016, 2019 und der Subscription Edition. Die Cloud-basierte Variante SharePoint Online ist laut Microsoft nicht von der Angriffskampagne betroffen. Sobald ein System erfolgreich kompromittiert wurde, installieren die Angreifer sogenannte Webshells – unter anderem in Form von Dateien wie „spinstall0.aspx“ oder Skripten der „ghostfile“-Reihe. Über diese lassen sich beliebige Befehle auf dem Server ausführen. Darüber hinaus sind die Angriffe in der Lage, Sicherheitsmechanismen wie die Zwei-Faktor-Authentifizierung und Single Sign-on zu umgehen.
Die Ausweitung im Netzwerk erfolgt über Microsoft-365-Dienste wie Outlook, OneDrive oder Teams. Diese werden genutzt, um lateral innerhalb der kompromittierten Umgebung voranzukommen. In einem dokumentierten Fall konnte ESET sogar eine Backdoor identifizieren, die typischerweise von der chinesischen Hackergruppe LuckyMouse eingesetzt wird. Auch dies deutet auf ein hohes Maß an technischer Raffinesse und eine klare Zielausrichtung der Angreifer hin.
Zur Minimierung des Risikos empfiehlt ESET verschiedene Maßnahmen, die sowohl technische als auch organisatorische Aspekte abdecken. Unternehmen und Behörden sollten darauf achten, ausschließlich SharePoint-Versionen einzusetzen, die noch offiziell unterstützt werden. Es sei dringend erforderlich, sämtliche verfügbaren Sicherheitsupdates unverzüglich zu installieren, um bekannte Schwachstellen zu schließen.
Darüber hinaus wird der Einsatz von Antivirenlösungen mit aktiver AMSI-Integration empfohlen, um schädliche Skriptausführungen frühzeitig zu erkennen. Auch eine regelmäßige Rotation der ASP.NET-Maschinenschlüssel kann laut ESET dazu beitragen, die Gültigkeitsdauer bestehender Zugriffstoken zu verkürzen und damit das Zeitfenster für Angreifer zu minimieren. Die Nutzung von EDR-Lösungen kann helfen, verdächtige Prozesse frühzeitig zu erkennen und einzudämmen. Ergänzend dazu ist es aus Sicht des Herstellers wichtig, Mitarbeitende regelmäßig im Umgang mit Phishing und Social Engineering zu schulen, um das Risiko menschlicher Fehler zu verringern.
Die ToolShell-Kampagne verdeutlicht, wie schnell eine technische Schwachstelle zu einer sicherheitspolitisch relevanten Bedrohung werden kann. Dass Deutschland das erste Ziel dieser Angriffswelle war, sollte Unternehmen und Behörden im Land sensibilisieren. ESET warnt ausdrücklich davor, die Bedrohung zu unterschätzen – denn Deutschland bleibt auch weiterhin im Fokus.
Weiterführende technische Details der Kampagne finden Sie auf dem Blogbeitrag von ESET.
