ToolShell SharePoint CVE-2025-53770: Apa yang Terjadi

Pada 19 Juli 2025, Microsoft mengumumkan bahwa celah di SharePoint Server on-premise sedang dieksploitasi aktif. Rangkaian serangan itu kemudian dikenal sebagai ToolShell. Penyerang memanfaatkan celah di endpoint ToolPane.aspx untuk menanam web shell, mencuri kunci kriptografi server, lalu bergerak ke jaringan internal. Sebagian berakhir dengan pemasangan ransomware.

Masalahnya bukan hanya dokumen di SharePoint. Dengan machine key yang dicuri, penyerang bisa memalsukan akses walaupun patch sudah dipasang. Organisasi yang hanya menambal tanpa merotasi kunci bisa merasa aman padahal pintunya masih terbuka. SharePoint Online di Microsoft 365 tidak terdampak, jadi pelajaran ini khusus untuk server yang kamu kelola sendiri.

Apa saja yang terjadi dalam kampanye ToolShell?

Celah yang dipakai

CISA menjelaskan rantai serangannya terdiri dari dua celah yang ditambal Microsoft pada 8 Juli 2025: CVE-2025-49706 (spoofing jaringan) dan CVE-2025-49704 (eksekusi kode jarak jauh). Varian lanjutannya, CVE-2025-53770 dan CVE-2025-53771, dicatat sebagai bypass patch. MSRC menerbitkan panduan pertama pada 19 Juli 2025 dan menambahkan ketersediaan perbaikan sehari kemudian. CVE-2025-53770 masuk katalog KEV CISA pada 20 Juli 2025, disusul CVE-2025-49706 dan CVE-2025-49704 pada 22 Juli 2025.

Siapa pelakunya

Blog Microsoft Threat Intelligence (22 Juli 2025, diperbarui 23 Juli) menyebut tiga aktor: Linen Typhoon dan Violet Typhoon, yang disebut aktor negara asal China, serta Storm-2603, aktor berbasis di China yang dinilai dengan keyakinan sedang. Microsoft mencatat percobaan eksploitasi sudah terlihat sejak 7 Juli 2025, dan Storm-2603 mulai memasang ransomware Warlock lewat celah ini pada 18 Juli 2025.

Apa yang dilakukan penyerang setelah masuk

Menurut Microsoft, polanya berurutan:

• Mengirim permintaan POST ke endpoint ToolPane, lalu mengunggah web shell yang biasanya bernama spinstall0.aspx.
• Memakai web shell untuk mengambil data ASP.NET MachineKey.
• Menjalankan perintah lewat proses w3wp.exe, mematikan Microsoft Defender lewat registry, dan membuat scheduled task untuk bertahan.
• Mengambil kredensial dengan Mimikatz, lalu bergerak ke server lain dengan PsExec dan Impacket.
• Pada kasus Storm-2603, mengubah Group Policy untuk menyebarkan ransomware Warlock.

Versi terdampak dan update yang perlu dipasang

Menurut MSRC, yang terdampak adalah SharePoint Server Subscription Edition, 2019, dan 2016. Versi yang sudah habis masa dukungannya, seperti SharePoint Server 2013 dan sebelumnya, tidak mendapat update dan oleh CISA diminta diputus dari internet.

Setelah update, Microsoft menyebut rotasi machine key sebagai langkah kritis. Urutannya: buat kunci baru dengan Set-SPMachineKey -WebApplication <nama>, sebarkan ke farm dengan Update-SPMachineKey -WebApplication <nama>, lalu jalankan iisreset.exe di semua server SharePoint. Blog Microsoft Threat Intelligence juga menyebut cara lewat Central Administration: jalankan job "Machine Key Rotation Job" dengan Run Now.

Langkah pendukungnya: aktifkan AMSI (Antimalware Scan Interface) dalam Full Mode, pasang antivirus di semua server SharePoint, dan gunakan EDR untuk menangkap aktivitas setelah eksploitasi. Bila AMSI tidak bisa diaktifkan, Microsoft menyarankan memutus server dari internet sampai update terpasang, atau menaruhnya di belakang VPN, proxy, atau gateway yang mewajibkan autentikasi.

Kapan tetap on-premise, kapan pindah ke layanan terkelola?

Server on-premise masuk akal bila ada alasan kuat: aturan data yang mewajibkan penyimpanan di lokasi tertentu, integrasi dengan sistem lama, atau kebutuhan kustomisasi yang tidak tersedia di layanan cloud. Tapi konsekuensinya jelas. Tim kamu yang bertanggung jawab memasang patch dalam hitungan hari, memantau log, merotasi kunci, dan menutup akses publik yang tidak perlu. Kampanye ToolShell menunjukkan jarak antara patch rilis dan eksploitasi massal bisa sangat pendek.

Bila tim TI kecil dan server SharePoint, email, atau aplikasi kolaborasi lain dibuka ke internet hanya demi kemudahan akses, pertimbangkan dua hal. Pertama, apakah server itu benar-benar harus dapat diakses publik, atau cukup lewat VPN. Kedua, apakah layanan terkelola, di mana penyedia yang menangani patch, lebih realistis untuk ukuran timmu. Pertimbangan serupa untuk email dibahas di email bisnis dengan domain sendiri.

Pelajaran untuk server yang terbuka ke internet

Aplikasi web on-premise yang bisa diakses dari internet akan dipindai, dan produk yang dipakai banyak organisasi biasanya diburu lebih dulu. Empat kebiasaan berikut mengurangi dampaknya:

1. Daftar aset yang terbuka ke internet, lengkap dengan versinya, sehingga saat ada berita celah baru kamu langsung tahu apakah terdampak.
2. Pemantauan daftar celah aktif seperti katalog KEV CISA, bukan menunggu jadwal patch bulanan.
3. Asumsi kompromi. Untuk celah yang sudah dieksploitasi, periksa tanda pembobolan setelah patch. Tanda umumnya ada di tanda website diretas.
4. Backup yang terpisah dari domain Windows. Storm-2603 memakai Group Policy untuk menyebar ransomware, artinya backup yang ikut domain bisa ikut terenkripsi. Prinsip backup yang tahan serangan seperti ini dijelaskan di aturan backup 3-2-1-1-0.