Una reciente investigación ha revelado que actores de amenazas con vínculos a China han aprovechado la vulnerabilidad de seguridad ToolShell (CVE-2025-53770) en Microsoft SharePoint. Este fallo, que fue divulgado y parcheado en julio de 2025, permitió infiltraciones significativas en sectores críticos, incluyendo una importante empresa de telecomunicaciones en el Medio Oriente y diversas instituciones gubernamentales en África y América del Sur.
Un problema más grave de lo que parece
Según el equipo de investigación de amenazas de Symantec de Broadcom, la CVE-2025-53770, un bypass ahora corregido de autenticación, fue explotada por varios grupos de ciberespionaje chinos, destacándose Linen Typhoon, Violet Typhoon y Storm-2603. Estos grupos han sido responsables de ataques sofisticados y diversificados, utilizando herramientas como Zingdoor, ShadowPad y KrustyLoader para llevar a cabo sus incursiones.
Los ataques no se restringieron a un único sector, ya que se reportaron incidentes en una universidad en EE. UU., además de un organismo gubernamental en un país africano y una agencia financiera en Europa. El enfoque multifacético de estas operaciones sugiere un interés estratégico por parte de los actores de amenazas en robar credenciales y establecer acceso persistente y sigiloso a las redes de sus víctimas.
Además, se ha documentado que algunos de los atacantes también utilizaron vulnerabilidades adicionales y técnicas de side-loading de DLL para entregar sus cargas maliciosas. Entre estas técnicas, se incluye la explotación de CVE-2021-36942, un exploit conocido por su capacidad de escalada de privilegios, lo que refuerza la sofisticación de su enfoque.
Los hallazgos del informe sugieren que, si bien existe una superposición en los tipos de víctimas y herramientas utilizadas, no se ha logrado atribuir estas actividades a un grupo específico con certeza. Sin embargo, todas las evidencias apuntan a que detrás de estas operaciones están actores de amenazas basados en China.
