في عام 2025، استغلت جهات التهديد الثغرات CVE-2025-53770 وCVE-2025-53771 في Microsoft SharePoint المحلي، مما سمح بتنفيذ التعليمات البرمجية عن بُعد عبر طلبات HTTP مصممة خصيصًا.
إحدى جهات التهديد المتورطة، والتي تم تحديدها كـ Storm-2603، قامت بنشر برامج الفدية على الأنظمة المتأثرة بعد الاستغلال الناجح. وقد تم نسب هذا النشاط إلى Storm-2603 من قبل Microsoft، مما أكد تورطهم في نشر برامج الفدية.
تبع الهجوم عملية اختراق من مرحلتين، مع بصمة أولية للثغرة في 20 ديسمبر 2025، وسلسلة كاملة لتنفيذ التعليمات البرمجية عن بُعد في 24 ديسمبر 2025. تم تنفيذ هذا التنفيذ عبر عملية IIS worker، حيث تم تنفيذ الحمولة الخبيثة دون أن تُكتب على القرص.
كانت سمة ملحوظة للهجوم هي فترة خمول لمدة ثلاثة أيام بين الفحص الأولي والنشاط الخبيث اللاحق. خلال هذا الوقت، بقيت webshell مقيمة طوال فترة حياة نطاق التطبيق المتأثر، مما سمح بالوصول المستمر إلى الأنظمة المخترقة.