www.netties.be

Vandaag

Nieuws | Chinese hackers plunderen SharePoint: een digitaal drama

Gepubliceerd op: 2025-07-24

Eerst even uitleggen wat eigenlijk de zero-day zwakke plek in SharePoint is. Stel je voor: je hebt een digitale kluis voor je bedrijfsgeheimen, maar iemand vindt een achterdeurtje dat wijd openstaat. Dat is precies wat er aan de hand is met Microsoft SharePoint, een populaire server voor het opslaan en delen van interne documenten. De bug, officieel CVE-2025-53770 genoemd, is een zogeheten zero-day: een zwakke plek die hackers vonden vóór Microsoft een pleister klaar had. Deze bug laat aanvallers zonder inloggen gevoelige sleutels stelen, malware planten en door je bestanden struinen. Alsof dat niet erg genoeg is, kunnen ze via SharePoint ook andere systemen in je netwerk hacken. Dit treft vooral bedrijven met zelfgehoste SharePoint-servers, niet de cloudversie. En ja, we hebben het over software vanaf 2016 – dus ook oudere systemen liggen open.

Chinese hackers ruiken bloed
Het wordt nog erger: Chinese hackers, volgens Microsoft en Google gelinkt aan groepen als Linen Typhoon en Violet Typhoon, misbruiken deze bug al sinds 7 juli 2025. Ze richten zich op overheden, telecom en techbedrijven, vooral in Noord-Amerika en West-Europa. Minstens 54 organisaties, waaronder multinationals en overheidsinstanties, zijn al gehackt. De aanvallers stelen cryptografische sleutels om zelfs na een patch toegang te houden. En het zijn niet alleen de Chinezen; andere hackers springen nu ook op de wagen, want een zero-day is als een open snoepwinkel voor cybercriminelen. China ontkent trouwens alles, zoals altijd: Cyberaanvallen? Wij? Nooit!

Wat nu, Microsoft?
Microsoft heeft patches uitgerold voor de meeste SharePoint-versies, maar niet voor de oudere 2016-editie, dus die blijft kwetsbaar. Bedrijven moeten niet alleen updaten, maar ook hun digitale sleutels vervangen en malware scannen. Want een patch alleen is niet genoeg als hackers al binnen zijn. Wie echt op veilig wil spelen, zou eigenlijk alle toegang moeten intrekken en gebruikers opnieuw laten authenticeren. Dat kan helpen bij het aanpakken van ongewenste indringers in de SharePoint zero-day (CVE-2025-53770). Dit komt doordat hackers die deze zwakte misbruiken vaak cryptografische sleutels stelen, zoals de ASP.NET machine keys, om valse __VIEWSTATE-payloads te maken. Daarmee kunnen ze toegang behouden, zelfs na een patch. Door alle sessies te beëindigen en nieuwe authenticatie te vereisen, kun je deze gestolen sleutels ongeldig maken. Het is als het veranderen van alle sloten van je huis na een inbraak: oude sleutels (ook gestolen) werken niet meer.[]

Wat moeten bedrijven doen?
Microsoft adviseert bedrijven om:
- Patches installeren: Updates voor SharePoint Server 2019 en Subscription Edition zijn beschikbaar, maar niet voor 2016.
- Sleutels roteren: Draai de ASP.NET machine keys en herstart de IIS-server. Dit maakt gestolen sleutels waardeloos.
- AMSI inschakelen: De Antimalware Scan Interface (sinds september 2023 standaard aan) blokkeert ongeauthenticeerde aanvallen.
- Sessies intrekken: Door iedereen uit te loggen en opnieuw te laten inloggen, worden actieve sessies van hackers ongeldig. Dit kan via een reset van authenticatietokens of door MFA (meerfactor-authenticatie) opnieuw te vereisen.[

Is dit voldoende?
Grotendeels wel, maar het is geen wondermiddel. Als hackers al een achterdeurtje (zoals een webshell) hebben geïnstalleerd, blijven ze mogelijk binnen. Daarom moet je ook logs controleren op verdachte activiteiten, zoals het bestand 'spinstall0.aspx', en je netwerk scannen op malware. Alleen patches en sleutelrotatie zijn niet genoeg; je moet actief jagen op sporen van indringers. En eerlijk? Bedrijven die hun SharePoint-server open op internet hebben staan, vragen om problemen. Neem die servers offline of scherm ze af met een VPN tot alles veilig is.

Logistieke nachtmerrie
Dit is een pleister op een wonde die Microsoft had moeten voorkomen. De zero-day werd al sinds 7 juli 2025 misbruikt, en dat ze geen patch hebben voor SharePoint 2016 is ronduit slordig. Bedrijven moeten nu zelf detectiewerk doen, terwijl hackers vrij spel hadden. En ja, iedereen eruit gooien klinkt logisch, maar in grote organisaties is dat een logistieke nachtmerrie. Waarom ligt de last altijd bij de klant, Microsoft?

(1) https://techcrunch.com/2025/07/22/google-microsoft-say-chinese-ha...
(2) https://thehackernews.com/2025/07/critical-microsoft-sharepoint-f...
(3) https://krebsonsecurity.com/2025/07/microsoft-fix-targets-attacks...
(4) https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sha...

Deel op

Deel per

Terug naar het overzicht

Nieuws

Hardware

Oor

Site

Tip

Software

Bekijk hier de oudere artikels

Ons archief is wellicht het meest uitgebreide overzicht...

Design en programmatie by PDL