CISA (Агентство по кибербезопасности и защите инфраструктуры США) опубликовало Отчет об анализе вредоносного ПО (MAR), в котором подробно описываются уязвимости в Microsoft SharePoint. Отчет посвящен четырем конкретным CVE: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 и CVE-2025-53771. Злоумышленники активно используют связку CVE-2025-49704 и CVE-2025-49706, метод, известный как "ToolShell", для несанкционированного доступа к локальным серверам SharePoint. Анализ CISA выявил шесть вредоносных файлов, включая DLL, перехватчик ключей и веб-шеллы. Это вредоносное ПО может использоваться для кражи криптографических ключей и извлечения данных после сбора информации о хост-системах. Вследствие этого, CISA добавила эти CVE в свой Каталог известных эксплуатируемых уязвимостей 20 и 22 июля 2025 года. Организациям настоятельно рекомендуется использовать предоставленные индикаторы компрометации и сигнатуры обнаружения для выявления вредоносного ПО. Для этой цели доступны загружаемые IOC и правила обнаружения SIGMA. Более подробную информацию о вредоносном ПО и правила YARA можно найти в MAR-251132.c1.v1. CISA предоставляет эту информацию в информационных целях без одобрения каких-либо конкретных коммерческих продуктов.