Storm-2603 Sembunyikan Backdoor di Memori SharePoint dan Coba Sebarkan Ransomware Warlock

Kelompok peretas Storm-2603 kembali menjadi sorotan setelah peneliti keamanan menemukan serangan terhadap server Microsoft SharePoint yang menggunakan backdoor berbasis memori. Teknik ini memungkinkan penyerang mempertahankan kendali melalui proses layanan SharePoint tanpa menyimpan komponen backdoor utamanya sebagai file di disk.

Dalam insiden yang dianalisis Kaspersky, penyerang mengeksploitasi kerentanan ToolShell pada SharePoint lokal (on-premises), kemudian memanfaatkan proses IIS untuk menjalankan kode berbahaya. Mereka juga memasang sejumlah alat administrasi jarak jauh, membangun jalur komunikasi alternatif, dan mencoba menjalankan ransomware Warlock.

Upaya enkripsi tersebut akhirnya diblokir oleh fitur perlindungan Kaspersky Endpoint Security sebelum ransomware berhasil mengenkripsi sistem korban.

Temuan ini memperlihatkan bahwa serangan terhadap server SharePoint tidak selalu berhenti pada pencurian data atau pemasangan web shell biasa. Penyerang dapat menyembunyikan kendali di dalam memori proses aplikasi, sehingga pemeriksaan file di disk saja tidak cukup untuk memastikan sebuah server telah bersih.

Memanfaatkan Kerentanan ToolShell pada SharePoint

Serangan ini memanfaatkan dua kerentanan Microsoft SharePoint yang dikenal sebagai ToolShell, yaitu:

• CVE-2025-53770, kerentanan yang memungkinkan eksekusi kode jarak jauh pada server SharePoint yang rentan.
• CVE-2025-53771, kerentanan bypass keamanan yang berkaitan dengan rangkaian eksploitasi ToolShell.

Keduanya berdampak pada instalasi SharePoint Server yang dikelola sendiri oleh organisasi, bukan SharePoint Online dalam Microsoft 365.

Dalam kronologi yang direkonstruksi Kaspersky, aktivitas awal berupa pemeriksaan terhadap endpoint administratif ToolPane tercatat pada 20 Desember. Permintaan tersebut digunakan untuk mengetahui apakah server target rentan terhadap CVE-2025-53770.

Sekitar 12 menit kemudian, koneksi lain berasal dari infrastruktur penyedia hosting yang dikenal memiliki riwayat aktivitas penyalahgunaan. Namun, pada tahap tersebut belum ditemukan upaya eksploitasi langsung.

Aktivitas kemudian berlanjut pada 24 Desember. Penyerang mengirimkan permintaan yang telah dirancang khusus ke server SharePoint yang sama dan berhasil menjalankan kode melalui proses pekerja IIS, yaitu w3wp.exe.

Jeda antara pemeriksaan awal dan eksploitasi membuat aktivitas pertama sempat dinilai sebagai kejadian berprioritas rendah. Setelah dilakukan analisis retrospektif, kedua aktivitas tersebut diketahui memiliki hubungan dalam rangkaian intrusi yang sama.

Backdoor Berjalan di Memori, Bukan sebagai File Biasa

Bagian paling menarik dari serangan ini adalah penggunaan backdoor yang berjalan langsung di dalam memori proses IIS.

Alih-alih menyimpan web shell sebagai berkas ASPX yang mudah ditemukan melalui pemeriksaan direktori, penyerang memasukkan kerangka backdoor ke dalam runtime ASP.NET.

Komponen utamanya menggunakan mekanisme VirtualPathProvider. Fitur ini sebenarnya merupakan bagian sah dari ASP.NET yang memungkinkan aplikasi menyediakan halaman melalui jalur virtual, termasuk konten yang tidak memiliki berkas fisik seperti halaman web biasa.

Dalam insiden tersebut, mekanisme itu disalahgunakan untuk menyisipkan fungsi berbahaya ke dalam proses aplikasi.

Backdoor memiliki beberapa karakteristik:

• Berjalan di dalam proses w3wp.exe.
• Menggunakan mekanisme pemrosesan jalur virtual ASP.NET.
• Hanya aktif ketika menerima permintaan dengan karakteristik tertentu.
• Memiliki saluran komunikasi khusus untuk menerima perintah.
• Dapat membuat koneksi menuju sistem lain di jaringan internal.

Karena komponen utama berada di memori, keberadaannya tidak selalu terlihat melalui pemindaian file biasa.

Namun, istilah fileless perlu dipahami secara tepat. Backdoor utama memang tidak ditulis sebagai file di disk, tetapi aktivitas lanjutan tetap menghasilkan artefak pada sistem, termasuk pemasangan perangkat lunak dan komponen tambahan.

Dengan demikian, serangan ini bukan berarti seluruh aktivitas penyerang berlangsung tanpa meninggalkan jejak di penyimpanan.

SharePoint Dijadikan Jembatan untuk Masuk ke Jaringan Internal

Setelah berhasil menanamkan backdoor, Storm-2603 menggunakan server SharePoint sebagai titik perantara untuk menjangkau sistem lain.

Backdoor menyediakan kemampuan tunneling yang memungkinkan komunikasi diteruskan melalui server yang telah dikompromikan. Penyerang kemudian dapat menjadikan server tersebut sebagai jembatan untuk melakukan pergerakan lateral.

Salah satu alat yang ditemukan adalah suo5, perangkat tunneling yang disalahgunakan untuk meneruskan lalu lintas jaringan.

Backdoor juga memiliki modul untuk mengumpulkan informasi mengenai:

• Proses yang sedang berjalan.
• Pengguna yang sedang masuk ke sistem.
• Koneksi dan antarmuka jaringan.
• Informasi lingkungan host.
• Aktivitas yang berkaitan dengan akun dan hak akses.

Selain itu, peneliti menemukan kemampuan untuk membuat akun administrator melalui antarmuka Windows tingkat rendah. Pendekatan ini berpotensi membuat akses penyerang lebih sulit dikenali jika pemantauan hanya berfokus pada perintah administrasi konvensional.

Kombinasi pengumpulan informasi dan tunneling memungkinkan penyerang memahami lingkungan korban sebelum melanjutkan aktivitas berikutnya.

Velociraptor dan Berbagai Jalur Akses Alternatif

Setelah memperoleh kendali melalui proses IIS, penyerang menjalankan msiexec.exe untuk memasang paket MSI yang diunduh dari penyimpanan cloud Supabase.

Paket tersebut berisi Velociraptor versi 0.73.4.0, sebuah perangkat lunak sumber terbuka yang sebenarnya dirancang untuk kebutuhan digital forensik dan respons insiden.

Dalam kasus ini, perangkat tersebut disalahgunakan untuk menjalankan perintah, melakukan pengintaian, mengumpulkan informasi, dan mempertahankan akses ke lingkungan korban.

Peneliti juga menemukan beberapa mekanisme akses jarak jauh tambahan, antara lain:

• Zoho Assist Unattended Support.
• VS Code CLI tunneling.
• Cloudflare Tunnel.
• Perangkat reverse proxy.

Penggunaan beberapa jalur akses sekaligus membuat proses pembersihan menjadi lebih rumit. Menghapus satu perangkat yang mencurigakan belum tentu menghentikan seluruh kendali penyerang.

Hal ini juga menunjukkan bahwa perangkat lunak yang sah dapat berubah menjadi bagian dari aktivitas berbahaya ketika dipasang atau digunakan tanpa izin.

Penyerang Mencoba Mematikan Perlindungan Endpoint

Dalam tahap lanjutan, Storm-2603 mencoba menonaktifkan solusi keamanan endpoint menggunakan teknik penyalahgunaan driver yang memiliki kerentanan.

Teknik ini dikenal sebagai Bring Your Own Vulnerable Driver (BYOVD). Penyerang memanfaatkan driver yang rentan untuk mencoba menghentikan atau mengganggu mekanisme perlindungan keamanan pada sistem Windows.

Kaspersky menemukan driver bernama rsndispot.sys serta sebuah DLL berbahaya yang diidentifikasi berkaitan dengan komponen penghambat antivirus milik Warlock ransomware.

Upaya tersebut diduga dimaksudkan untuk melemahkan kemampuan deteksi dan perlindungan sebelum ransomware dijalankan.

Namun, rencana tersebut tidak sepenuhnya berhasil.

Warlock Ransomware Berhasil Diblokir Sebelum Enkripsi

Tahap akhir serangan melibatkan percobaan menjalankan Warlock ransomware pada sistem yang telah dikompromikan.

Kaspersky mengidentifikasi DLL berbahaya yang berkaitan dengan Warlock dan menemukan bahwa penyerang berupaya menyiapkan lingkungan sebelum menjalankan ransomware.

Akan tetapi, modul Proactive Defense pada Kaspersky Endpoint Security berhasil memblokir proses ransomware tersebut.

Artinya, dalam insiden yang dianalisis ini, penyerang memang berhasil memperoleh akses dan menyiapkan sejumlah komponen berbahaya, tetapi tidak berhasil menyelesaikan proses enkripsi data.

Kaspersky mengaitkan insiden tersebut dengan Storm-2603 dengan tingkat keyakinan sedang (moderate confidence). Penilaian tersebut didasarkan pada kesamaan teknik eksploitasi SharePoint, penggunaan alat Velociraptor, serta komponen yang berkaitan dengan Warlock ransomware.

Microsoft sebelumnya juga mengidentifikasi Storm-2603 sebagai kelompok ancaman yang dinilai berasal dari China dengan tingkat keyakinan sedang. Microsoft mencatat kelompok tersebut pernah menggunakan eksploitasi SharePoint untuk menyebarkan Warlock dan LockBit ransomware.

Namun, atribusi tersebut tidak berarti seluruh aktivitas serangan yang menggunakan ToolShell dilakukan oleh kelompok yang sama.

Mengapa Backdoor Fileless Lebih Sulit Ditemukan?

Serangan ini memperlihatkan keterbatasan pendekatan keamanan yang hanya mengandalkan pemindaian file.

Jika backdoor utama berada di memori proses IIS, pemeriksaan direktori SharePoint mungkin tidak menemukan komponen yang menjadi sumber kendali penyerang.

Tim keamanan perlu memperhatikan perilaku proses aplikasi, perubahan runtime, komunikasi jaringan, serta hubungan antara aktivitas SharePoint dan proses lain yang muncul setelah eksploitasi.

Beberapa aktivitas yang perlu diperiksa meliputi:

1. Perilaku tidak biasa pada w3wp.exe. Periksa proses anak, koneksi jaringan keluar, serta aktivitas yang tidak sesuai dengan fungsi normal server SharePoint.
2. Perubahan pada runtime ASP.NET. Investigasi registrasi VirtualPathProvider baru yang tidak dikenal atau tidak sesuai dengan konfigurasi aplikasi.
3. Aktivitas ToolPane mencurigakan. Korelasikan permintaan ke endpoint tersebut dengan kejadian pemuatan assembly .NET dan aktivitas deserialisasi yang tidak biasa.
4. Pemasangan alat administrasi jarak jauh. Periksa penggunaan Velociraptor, Zoho Assist, Cloudflare Tunnel, dan VS Code tunneling yang tidak memiliki persetujuan organisasi.
5. Penyalahgunaan driver. Pantau keberadaan driver tidak dikenal dan aktivitas yang berusaha menghentikan perlindungan endpoint.
6. Akun administrator baru. Audit perubahan akun lokal maupun domain setelah server SharePoint menunjukkan tanda kompromi.

Indikator tersebut harus dianalisis sebagai satu rangkaian kejadian. Sebagian komponen yang disebutkan juga dapat digunakan secara sah oleh administrator dan tim keamanan.

Langkah Mitigasi bagi Pengelola SharePoint

Organisasi yang menggunakan SharePoint Server lokal perlu memastikan seluruh pembaruan keamanan telah diterapkan. Microsoft telah merilis pembaruan untuk menangani kerentanan ToolShell, termasuk CVE-2025-53770 dan CVE-2025-53771.

Namun, jika server diduga sudah berhasil dieksploitasi, memasang pembaruan saja tidak cukup untuk memastikan lingkungan kembali aman.

Beberapa langkah yang perlu dilakukan adalah:

• Perbarui SharePoint Server. Gunakan versi yang masih didukung dan terapkan pembaruan keamanan terbaru dari Microsoft.
• Aktifkan AMSI dan perlindungan antimalware. Pastikan Antimalware Scan Interface dikonfigurasi dengan benar serta perlindungan endpoint aktif.
• Rotasi ASP.NET MachineKey. Jika server terindikasi telah dikompromikan, ganti MachineKey yang mungkin telah terekspos sesuai prosedur pemulihan Microsoft.
• Audit proses IIS. Periksa aktivitas tidak biasa dari w3wp.exe, termasuk proses anak dan komunikasi jaringan.
• Periksa memori dan log IIS. Simpan bukti forensik sebelum melakukan tindakan yang dapat menghapus artefak di memori.
• Hapus akses tidak sah. Identifikasi akun administrator, alat akses jarak jauh, dan mekanisme persistensi yang tidak dikenal.
• Evaluasi seluruh jaringan. Periksa kemungkinan pergerakan lateral dan kompromi pada server lain yang terhubung.
• Ganti kredensial yang terpapar. Lakukan rotasi kredensial dan rahasia autentikasi yang mungkin telah diakses penyerang.

Jika eksploitasi berhasil dikonfirmasi, organisasi sebaiknya memperlakukan server sebagai sistem yang telah dikompromikan dan menjalankan investigasi menyeluruh, bukan hanya menghapus file yang terlihat mencurigakan.

Serangan SharePoint Kini Tidak Cukup Ditangani dengan Patch

Kasus Storm-2603 memperlihatkan bahwa eksploitasi kerentanan hanyalah awal dari rangkaian serangan yang lebih panjang.

Setelah mendapatkan akses ke server SharePoint, penyerang dapat menyembunyikan backdoor di memori, membangun jalur komunikasi alternatif, memasang alat administrasi jarak jauh, dan mencoba menonaktifkan perlindungan endpoint sebelum menjalankan ransomware.

Keberhasilan Kaspersky memblokir Warlock ransomware juga menunjukkan pentingnya pertahanan berlapis. Patch keamanan, pemantauan proses, perlindungan endpoint, dan investigasi aktivitas jaringan harus berjalan bersama.

Bagi pengelola SharePoint, pelajaran terpentingnya adalah bahwa server yang pernah dieksploitasi tidak boleh langsung dianggap aman hanya karena celah awal sudah ditutup. Persistensi dan kemungkinan pergerakan lateral tetap harus diperiksa sebelum sistem dikembalikan ke operasi normal.