Storm-2603 : attaque fileless sur SharePoint via ToolShell avec déploiement de ransomware Warlock

🔍 Contexte

Publié le 5 novembre 2026 par Kaspersky (Securelist), cet article présente une analyse technique détaillée d’une intrusion attribuée avec confiance modérée à Storm-2603, un acteur de menace suivi par Microsoft. L’incident a été identifié rétrospectivement en décembre 2025 lors d’une analyse d’un client Kaspersky.

🎯 Vecteur d’accès initial

L’attaque a exploité CVE-2025-53770 et CVE-2025-53771 (vulnérabilités dites « ToolShell ») affectant Microsoft SharePoint on-premises, permettant une exécution de code à distance via des requêtes HTTP forgées ciblant le composant ToolPane.

La chronologie de l’intrusion :

• 20 décembre : fingerprinting de vulnérabilité via une infrastructure associée à ONYPHE
• 21-23 décembre : latence tactique de 3 jours
• 24 décembre (réduction des effectifs de sécurité) : exécution complète de la chaîne RCE depuis l’IP 45.91.94.204 (nœud SPN / HostHatch, LLC)
• 26 décembre : découverte de l’incident

🧠 Architecture du webshell fileless

Le webshell injecté dans w3wp.exe est un framework modulaire en C# entièrement résident en mémoire, structuré autour de plusieurs composants :

• G.cs : orchestrateur principal, enregistre un VirtualPathProvider personnalisé via RegisterVirtualPassProviderInternal, intercepte les requêtes via GetCacheKey(), filtre par User-Agent spécifique, implémente un protocole binaire XOR pour le C2, et établit un tunnel TCP bidirectionnel (outil suo5)
• Prog.cs : point d’entrée et dispatcher de commandes
• London.cs : orchestrateur de commandes et escalade de privilèges via EfsPotato (EFSRPC, named pipe impersonation → token SYSTEM)
• FileDownloader.cs : téléchargement de fichiers depuis des URLs C2 vers ProgramData
• LoggedOnUsers.cs : énumération des sessions utilisateurs
• ProcessList.cs : liste des processus en cours
• NetworkInfo.cs : extraction des connexions réseau et interfaces
• MSI.cs : installation silencieuse de packages MSI
• User.cs : création de comptes administrateurs via SAM RPC natif (samlib.dll)
• SAMRPCNative (SAMEnums.cs, SAMStructs.cs, SAMMethods.cs) : wrapper P/Invoke bas niveau pour les opérations SAM

⚙️ Post-exploitation

Après l’injection du webshell, w3wp.exe a spawné msiexec.exe pour installer Velociraptor v0.73.4.0 (vulnérable à CVE-2025-6264) depuis Supabase cloud storage, utilisé comme framework d’exécution de commandes.

Mécanismes de tunneling déployés :

• Zoho Assist (accès distant non supervisé)
• VS Code CLI tunneling
• Cloudflare Tunnel
• Proxy inverse léger

💣 Tentatives d’évasion et ransomware

• Chargement d’un driver vulnérable (rsndispot.sys) pour tuer les solutions EDR
• Utilisation d’une DLL malveillante identifiée comme l’AV killer du ransomware Warlock (sideloading)
• Tentative de déploiement du ransomware Warlock, bloquée par le module Proactive Defense de Kaspersky Endpoint Security

🏷️ Attribution

Microsoft suit Storm-2603 comme acteur autonome, sans liens connus avec d’autres groupes, ayant précédemment déployé Warlock et LockBit après exploitation de SharePoint. L’activité observée correspond aux TTPs documentés, notamment l’utilisation de Velociraptor post-compromission et de tunnels chiffrés via outils de gestion à distance.

📄 Nature de l’article

Il s’agit d’une analyse technique approfondie (post-mortem d’incident) publiée par Kaspersky, visant à documenter les TTPs de Storm-2603, fournir des indicateurs de compromission exploitables et des recommandations de détection pour les défenseurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Storm-2603 (cybercriminal) — orkl.eu · Malpedia

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1055 — Process Injection (Defense Evasion)
• T1620 — Reflective Code Loading (Defense Evasion)
• T1553 — Subvert Trust Controls (Defense Evasion)
• T1134 — Access Token Manipulation (Privilege Escalation)
• T1134.001 — Access Token Manipulation: Token Impersonation/Theft (Privilege Escalation)
• T1543 — Create or Modify System Process (Persistence)
• T1505.003 — Server Software Component: Web Shell (Persistence)
• T1571 — Non-Standard Port (Command and Control)
• T1090 — Proxy (Command and Control)
• T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
• T1572 — Protocol Tunneling (Command and Control)
• T1219 — Remote Access Software (Command and Control)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
• T1014 — Rootkit (Defense Evasion)
• T1574.002 — Hijack Execution Flow: DLL Side-Loading (Defense Evasion)
• T1136 — Create Account (Persistence)
• T1136.001 — Create Account: Local Account (Persistence)
• T1057 — Process Discovery (Discovery)
• T1049 — System Network Connections Discovery (Discovery)
• T1033 — System Owner/User Discovery (Discovery)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1486 — Data Encrypted for Impact (Impact)

IOC

• IPv4 : 45.91.94.204 — AbuseIPDB · VT · ThreatFox
• IPv4 : 199.232.210.172 — AbuseIPDB · VT · ThreatFox
• IPv4 : 91.224.92.121 — AbuseIPDB · VT · ThreatFox
• IPv4 : 49.51.132.100 — AbuseIPDB · VT · ThreatFox
• IPv4 : 204.76.203.219 — AbuseIPDB · VT · ThreatFox
• Domaines : vdfccjpnedujhrzscjtq.supabase.co — VT · URLhaus · ThreatFox
• Domaines : auth.qgtxtebl.workers.dev — VT · URLhaus · ThreatFox
• URLs : https://vdfccjpnedujhrzscjtq.supabase.co/storage/v1/object/public/image/v4.msi — URLhaus
• URLs : https://auth.qgtxtebl.workers.dev/ — URLhaus
• URLs : https://files.catbox.moe/8f7vex.msi — URLhaus
• MD5 : fd91321bf7ff7245dda9b7b5d791ace8 — VT · MalwareBazaar
• MD5 : 3a55d8f8f29716c694671834d8c6cb29 — VT · MalwareBazaar
• MD5 : 991ec6e04413f2d4d29341c17a8a54d5 — VT · MalwareBazaar
• MD5 : 3d553b9061c03f891ce97d7d2e64ddee — VT · MalwareBazaar
• MD5 : 2c32e44a013cbfc5a323efb7694701d2 — VT · MalwareBazaar
• MD5 : 112a86eca3cb5a0b5e20ab744cc5af93 — VT · MalwareBazaar
• MD5 : a930f81e3fb0a226ec5904d9043a17b8 — VT · MalwareBazaar
• MD5 : 054a32d6033b1744dca7f49b2e466ea2 — VT · MalwareBazaar
• MD5 : 2d9ebf9c042f596f435865b40edad928 — VT · MalwareBazaar
• CVEs : CVE-2025-53770 — NVD · CIRCL
• CVEs : CVE-2025-53771 — NVD · CIRCL
• CVEs : CVE-2025-6264 — NVD · CIRCL
• Fichiers : rsndispot.sys
• Fichiers : v4.msi
• Fichiers : cloudflared-windows-amd64.msi
• Fichiers : 8f7vex.msi
• Fichiers : ZohoMeeting.7z
• Chemins : C:\programdata\rsndispot.sys
• Chemins : C:\Program Files\Velociraptor\Velociraptor.exe
• Chemins : C:\Program Files (x86)\ZohoMeeting\UnAttended\ZohoMeeting.7z

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• ToolShell webshell (G.cs framework) (backdoor)
• Warlock (ransomware)
• Velociraptor (framework)
• suo5 (tool)
• EfsPotato (tool)
• Zoho Assist (tool)
• VS Code CLI (tool)
• Cloudflare Tunnel (cloudflared) (tool)
• LockBit (ransomware)

---

🟢 Indice de vérification factuelle : 100/100 (haute)

• ✅ securelist.com — source reconnue (liste interne) (20pts)
• ✅ 31651 chars — texte complet (fulltext extrait) (15pts)
• ✅ 30 IOCs dont des hashes (15pts)
• ✅ 4/8 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 24 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Storm-2603 (5pts)
• ✅ 3/3 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 45.91.94.204 (ip) → VT (3/92 détections)
• 91.224.92.121 (ip) → VT (9/92 détections)
• vdfccjpnedujhrzscjtq.supabase.co (domain) → VT (13/92 détections)
• auth.qgtxtebl.workers.dev (domain) → VT (18/92 détections)

---

🔗 Source originale : https://securelist.com/storm-2603-fileless-toolshell-attack/121467/