Aunque China se encargó de negar las acusaciones que les llegan sobre el ataque, Microsoft continúa diciendo que no hay otro culpable más que los hackers que reciben apoyo del Gobierno chino. Junto a Microsoft hay decenas de empresas estadounidenses que opinan lo mismo. Sin embargo, Microsoft no se ha querido limitar a simplemente acusar a china sin más, sino que ha mencionado a tres grupos respaldados por el país asiático siendo estos Linen Typhoon, Violent Typhoon y Storm-2603, los cuales estaban detrás de los ataques de ransomware experimentados.

 En el transcurso del evento Pwn2Own en Berlín, unos investigadores publicaron un zeroday en Microsoft SharePoint, lo denominaron "ToolShell" y el exploit les permitía ejecutar código arbitrario. No pasó de ahí porque se publicó un parche que lo remediaba.

Sin embargo, poco después de la aparición del parche oficial, han aparecido dos zerodays adicionales que evaden los mecanismos de protección añadidos y consiguen explotar código arbitrario. Un patrón característico de grupos organizados: esperar al grupo de parches de Microsoft y hacer bindiffing para observar los cambios e investigar una forma de evadirlos o conseguir un exploit para versiones no parcheadas de los sistemas y aplicaciones.

Los zerodays ya tienen parche oficial. Son los CVE-2025-53770 y CVE-2025-53771. Se cree que más de medio centenar de organizaciones podrían haber sido objeto de ataque de estas vulnerabilidades.

La vulnerabilidad de Microsoft afecta a su plataforma SharePoint, concretamente a los servidores autohospedados que son utilizados por miles de organizaciones en todo el mundo. Se estima que hay alrededor de 10.000 organizaciones y entidades que los usan y dependen de ellos, lo que las pone en riesgo. SharePoint les permite compartir los documentos y colaborar entre ellas, pero se recomienda no usarlo ahora mismo aunque ya es demasiado tarde, pues el daño está ya hecho. Fue hace un par de días cuando Microsoft anunció el ataque a los servidores usando una vulnerabilidad "zero-day" lo que implica que no había sido descubierta previamente y les ha pillado por sorpresa.

Con esta vulnerabilidad, los ciberatacantes pueden acceder a los sistemas de archivos, instalar una backdoor y llegar a ejecutar malware para tener el control de los equipos. Como imaginarás, el mundo entero ha recibido esta alarma y se han puesto manos a la obra. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) ha recomendado a los usuarios y empresas que desconecten los servidores de Internet y se esperen a un parche. El FBI está trabajando con sus socios gubernamentales y empresas del sector privado para identificar quién ha sido el culpable. Por otro lado, Google Alphabet ha indicado que probablemente el ataque provenga de hackers vinculados a China.

Además, Microsoft indica que este exploit empezó a utilizarse desde el 7 de julio, dos semanas antes de que lo descubrieran. China niega cualquier tipo de acusación y han llegado a contestar de que son opiniones infundadas que carecen de argumentos y pruebas para determinar que fueron ellos. Hasta que no haya alguna prueba definitiva que confirme que fueron esos grupos de hackers u otros seguramente no veremos progreso en este caso, aunque mientras tanto Microsoft debe enfocarse en lanzar parches y ayudar a las empresas afectadas.

En el caso de la vulnerabilidad de los servidores SharePoint, el impacto fue mayor, pues atacaba a los servidores locales que usaban las empresas. Aunque esto puso en riesgo a unas 10.000 organizaciones, se estima que los ataques afectaron a alrededor de un 1% de ellas, es decir, unas 100. Microsoft fue rápida a la hora de anunciar un parche para solucionar el problema, aunque el daño ya estaba hecho. Durante el ataque se pusieron en marcha la CISA y el FBI de EE.UU. que se encargarían de ayudar e investigar lo ocurrido para ver quién es el culpable.

Si bien no se identificaron los responsables, Microsoft ha dicho que los responsables de la vulnerabilidad de SharePoint han sido hackers chinos patrocinados por el Estado y cuyo objetivo era encontrar brechas de seguridad y atacar al software SharePoint. Según indica Microsoft, esto es parte de una campaña de espionaje que quiere atacar a las infraestructuras críticas de Estados Unidos.

Fuentes:

https://elchapuzasinformatico.com/2025/07/microsoft-hackers-chinos-vulnerabilidad-sharepoint/

https://research.eye.security/sharepoint-under-siege/

https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/