Cos’è l’attacco ToolShell e perché dovrebbe interessarti
Una nuova ondata di attacchi informatici che sfruttano Microsoft SharePoint ha già compromesso almeno 75 organizzazioni in Europa. La campagna, tracciata con il nome ToolShell, usa un toolkit backdoor sofisticato che dà agli aggressori un accesso persistente agli ambienti aziendali attraverso una delle piattaforme di collaborazione più diffuse al mondo.
Per le PMI europee che usano SharePoint per la gestione documentale, i servizi intranet e la collaborazione tra team, non è un titolo lontano. È una minaccia diretta per le attività quotidiane, i dati sensibili e la continuità operativa.
Come funziona l’attacco ToolShell
Accesso iniziale tramite le vulnerabilità di SharePoint
La campagna ToolShell sfrutta vulnerabilità note, e in molti casi ancora prive di patch, di Microsoft SharePoint Server. Falle critiche come CVE-2024-38094 (una vulnerabilità di esecuzione di codice da remoto con punteggio CVSS di 7,2) e gli exploit concatenati CVE-2023-29357 e CVE-2023-24955 permettono agli aggressori di aggirare l’autenticazione, aumentare i privilegi ed eseguire codice arbitrario sul server.
Una volta dentro, gli attaccanti installano un toolkit backdoor personalizzato, ToolShell, che si installa come una serie di componenti webshell camuffati da file legittimi di SharePoint. Questi componenti usano estensioni standard come .aspx e .ashx, il che li rende estremamente difficili da distinguere dai normali file applicativi di SharePoint durante i controlli di routine.
Persistenza e movimento laterale
Ciò che rende ToolShell particolarmente pericoloso è il suo design modulare. Dopo aver piazzato la webshell iniziale, il toolkit può scaricare moduli aggiuntivi per il furto di credenziali, il movimento laterale nella rete e l’esfiltrazione dei dati. Gli aggressori agiscono con un approccio lento e silenzioso, restando spesso non rilevati per settimane prima di eseguire l’obiettivo finale: distribuzione di ransomware, furto di proprietà intellettuale o compromissione della catena di fornitura.
Il toolkit comunica con i server di comando e controllo attraverso canali cifrati che imitano i pattern di traffico legittimi di SharePoint. Questo rende il rilevamento basato sulla rete molto più difficile, soprattutto per le organizzazioni prive di un monitoraggio avanzato.
Perché le PMI europee sono particolarmente a rischio
Le grandi imprese hanno di solito centri operativi di sicurezza dedicati e strumenti di endpoint detection in grado di segnalare comportamenti anomali. Le piccole e medie imprese raramente hanno le stesse risorse, eppure usano le stesse piattaforme. Secondo Eurostat, oltre il 90% delle imprese UE con 10 o più addetti usa servizi basati sul cloud, e Microsoft 365, SharePoint compreso, domina il mercato europeo.
Le PMI italiane hanno una difficoltà in più. L’Agenzia per la Cybersicurezza Nazionale (ACN) ha avvertito più volte che le aziende italiane sono colpite in modo sproporzionato da attori opportunisti, in parte per cicli di adozione delle patch più lenti e budget di cybersicurezza limitati. Nella sua relazione annuale 2024, l’ACN ha rilevato un aumento del 65% su base annua degli incidenti informatici che coinvolgono organizzazioni italiane, con le applicazioni esposte pubblicamente e prive di patch indicate tra i principali vettori di accesso iniziale.
La campagna ToolShell si inserisce perfettamente in questo schema. Prende di mira una piattaforma molto diffusa, sfrutta vulnerabilità per cui le patch sono disponibili da mesi e conta sul fatto che molte organizzazioni semplicemente non le hanno ancora applicate.
NIS2 e pressione normativa
La direttiva NIS2 dell’UE, entrata in piena applicazione a ottobre 2024, ha ampliato in modo significativo l’ambito degli obblighi di cybersicurezza per le imprese medie e grandi dei settori essenziali e importanti. Le aziende che non adottano misure di sicurezza adeguate, compresa una gestione tempestiva delle vulnerabilità, rischiano ora sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
Un incidente come la compromissione da ToolShell non è solo un problema tecnico. È un problema di conformità. Le organizzazioni devono poter dimostrare di aver adottato misure ragionevoli per proteggere la propria infrastruttura, compreso l’aggiornamento delle vulnerabilità note entro un termine definito.
Come proteggere la tua organizzazione
La buona notizia è che difendersi da ToolShell non richiede tecnologie esotiche. Richiede disciplina e un approccio strutturato ai fondamentali della sicurezza.
Gestione delle patch
Applica subito tutti gli aggiornamenti di sicurezza disponibili per Microsoft SharePoint. Dai priorità a CVE-2024-38094, CVE-2023-29357 e CVE-2023-24955 se non l’hai già fatto. Se usi SharePoint Server on-premises, verifica che il tuo piano di aggiornamento non sia in ritardo di più di 30 giorni rispetto ai rilasci del Patch Tuesday di Microsoft.
Riduci la superficie di attacco
I server SharePoint non dovrebbero mai essere esposti direttamente a internet senza un web application firewall o un reverse proxy davanti. Rivedi l’architettura di rete e assicurati che i servizi SharePoint siano segmentati rispetto ai sistemi interni critici, come i domain controller di Active Directory e i server di database.
Cerca le webshell
Scansiona le directory di SharePoint alla ricerca di file .aspx, .ashx e .asmx inattesi o modificati di recente. Microsoft Defender for Endpoint include funzioni di rilevamento delle webshell, e strumenti open source come le regole YARA pubblicate dalla CISA possono aiutare a individuare le firme note delle webshell.
Rafforza l’autenticazione
Attiva l’autenticazione a più fattori per tutti gli account con accesso a SharePoint, compresi gli account di servizio e le interfacce amministrative. Rivedi i permessi delle applicazioni OAuth e revoca quelli non necessari o sconosciuti.
Centralizza log e rilevamento
Assicurati che l’Unified Audit Logging sia attivo nel tuo tenant Microsoft 365 e che i log a livello di server SharePoint vengano inoltrati a una piattaforma SIEM centralizzata. Senza visibilità su ciò che accade nell’infrastruttura SharePoint, è quasi impossibile rilevare una compromissione ToolShell prima che faccia danni seri.
Il quadro generale
La campagna ToolShell non è un episodio isolato. Fa parte di una tendenza più ampia in cui gli aggressori prendono di mira piattaforme aziendali molto diffuse (SharePoint, Exchange, Confluence) perché una sola vulnerabilità dà accesso contemporaneamente a migliaia di potenziali vittime.
Per le PMI europee il messaggio è chiaro. La cybersicurezza non è più facoltativa, e il costo dell’inazione include ora sanzioni regolatorie oltre a interruzioni operative e danni di reputazione. Le organizzazioni che se la caveranno meglio sono quelle che trattano patch management, segmentazione di rete e monitoraggio non come progetti occasionali ma come processi continui, integrati nelle attività quotidiane.
Settantacinque aziende hanno già imparato questa lezione a proprie spese. La domanda è se la tua organizzazione sarà la prossima.