2025年7月19日、マイクロソフト社は、SharePoint Serverに存在する「ToolShell」と呼ばれるゼロデイ脆弱性が実環境で悪用されていることを確認しました。ToolShellは、リモートコード実行の脆弱性であるCVE-2025-53770と、サーバーなりすましの脆弱性であるCVE-2025-53771の2つの脆弱性で構成されています。これらの攻撃は、特にSharePointサブスクリプションエディション、SharePoint 2019、SharePoint 2016を実行しているオンプレミスのMicrosoft SharePoint Serverを標的としています。Microsoft 365で提供されているSharePoint Onlineは影響を受けません。これらの脆弱性を悪用すれば、サイバー攻撃者は制限されているシステムに侵入して機密情報を窃取できます。

7月17日以降、ToolShellを悪用するサイバー攻撃者は、個人レベルのサイバー犯罪者から国家が支援しているAPTグループにまで広がっています。SharePointは、Office、Teams、OneDrive、OutlookなどほかのMicrosoftサービスと統合されているため、この脆弱性を突かれて侵害されると、影響を受けるネットワーク全体で非常に高度なアクセス権を攻撃者に取得される恐れがあります。

攻撃の一環として、サイバー攻撃者は、すでにパッチが公開されているCVE-2025-49704とCVE-2025-49706に加えて、前述のCVE-2025-53770とCVE-2025-53771の4つの脆弱性を連鎖的に悪用しています。2025年7月22日時点で、CVE 2025 53770およびCVE-2025-53771にもパッチが提供されています。

WEBシェルペイロード

攻撃者はToolShellを悪用することで、多要素認証（MFA）やシングルサインオン（SSO）を回避できます。攻撃者は標的としたサーバーへの侵入に成功すると、悪意あるWebシェルを展開して、侵害されたシステムから情報を抽出します。この目的で頻繁に使用されているスクリプトの1つがspinstall0.aspxです。ESET社は、このスクリプトをMSIL/Webshell.JSとして検出して追跡しています。

さらに、2025年7月22日には、攻撃者が別の簡易なASP Webシェルを展開しようとしたことも観測されました。これらのWebシェルは、cmd.exeから攻撃者が指定したコマンドを実行します。これらのWebシェルは、ghostfile346.aspx、ghostfile399.aspx、ghostfile807.aspx、ghostfile972.aspx、およびghostfile913.aspxのファイル名で展開されていました。

ESET製品は、2025年7月17日にドイツでこの攻撃チェーン（Sharepoint/Exploit.CVE-2025-49704）の一部を悪用する試みを初めて検出しました。しかし、この攻撃はブロックされており、最終的なWebシェルペイロードは標的のシステムには配信されませんでした。ESET社が初めてこのペイロードを確認したのは7月18日で、これはイタリアのサーバーで検出されました。図1に示すように、ESET社はそれ以降、ToolShellが世界中で広く悪用されていることを観測しています。ESET社のテレメトリデータによると、最も多く標的となっている国はアメリカ（全体の13.3%）でした。

図1. 2025年7月17日から7月22日までのToolShell攻撃の地理的な分布

攻撃の監視

2025年7月17日から7月22日までに発生したToolShell攻撃を監視した結果、攻撃は表1に示されているIPアドレスから発信されていました（すべての時刻はUTCで表示）。

図2に、最も活動が活発だった3つのIPアドレスからの攻撃のタイムラインを示します。

図2. 最も活動が活発だったIPアドレスからの1時間ごとの攻撃数（攻撃がなかった時間帯は非表示）

懸念すべきことに、マイクロソフト社は、複数の中国とつながりのあるサイバー攻撃グループもこの脆弱性を悪用していると報告しています。ESET社も、ToolShellの標的となったベトナムのマシンで、LuckyMouseに関連するバックドアを検出しました。LuckyMouseは、主に政府機関、通信会社、国際機関を標的としているサイバースパイグループです。このシステムが以前から侵害されていたのか、それとも今回のToolShellによる攻撃の過程でバックドアが設置されたのかは現時点では不明です。

しかし、中国とつながりのあるAPTグループがこの攻撃チェーンを取り入れたことは間違いありません。ESET社のテレメトリによると、ToolShell攻撃の被害者には、これらのグループが長年標的としてきた重要な政府機関が複数含まれています。

すでにこの脆弱性が広まっていることから、パッチが適用されていないシステムを狙った多くの便乗型攻撃が発生することが予想されます。攻撃は今後も確実に続くはずです。そのため、SharePoint Serverを使用している場合は、マイクロソフト社のガイダンスに基づく以下の対策を講じてください。

• サポートされているバージョンのみを使用する
• 最新のセキュリティアップデートを適用する
• 適切なサイバーセキュリティソリューションを使って、マルウェア対策スキャンインターフェースが有効になっており正しく設定されていることを確認する
• SharePoint ServerのASP.NETマシンキーをローテーションする

IOC（セキュリティ侵害の痕跡）

ファイル

ネットワーク

MITRE ATT&CKの技術

この表は、MITRE ATT&CKフレームワークのバージョン17を使用して作成されています。