Algemeen

Dit alarm gaat af wanneer SharePoint (inclusief OneDrive) malware detecteert in een bestand.

Rationale

Medewerkers kunnen bestanden plaatsen in SharePoint en OneDrive en dat doen vanaf systemen die mogelijk niet voorzien zijn van anti-virus software, waar de anti-virus software niet up-to-date was of waar de anti-virus software een bepaald virus nog niet herkende. Zo kan het ontstaan dat een bestand in SharePoint geplaatst wordt, of later gedownload, dat een virus blijkt te bevatten. Het is altijd raadzaam om na te gaan waar dit virus vandaan kwam, omdat het erop kan duiden dat een systeem of gebruikersaccount van een medewerker gecompromitteerd is.

Opvolging

Voer deze stappen uit om deze detecie adequaat op te volgen:

1. Vraag de medewerker die het bestand plaatste of dit bewust werd gedaan.
   
   1. Zo nee: beschouw het account van de medewerker als gecompromitteerd
      1. Reset het wachtwoord van de medewerker
      2. Trek alle ingelogde sessies in van de beheerder (revoke sessions)
2. Download het bestand uit SharePoint om het voor analyse veilig te stellen en verwijder het daarna uit SharePoint.
3. Voer met anti-virus software (die up-to-date is) een volledige systeemscan uit op de computer van de medewerker waarvandaan het bestand werd geupload. Indien het systeem in kwestie geen anti-virus software bevat, kan daarbij gebruik gemaakt worden van HitmanPro of Malwarebytes.
4. Overweeg een Attic Tier2 onderzoek uit te laten voeren om meer te weten te komen over de aanval (wie, wat, wanneer, waar, waarom, hoe?). Dit wordt zeker geadviseerd indien de getroffen medewerker beheerrechten heeft.

Meer informatie

1. https://support.microsoft.com/en-au/office/what-to-do-when-a-malicious-file-is-found-in-sharepoint-online-onedrive-or-microsoft-teams-01e902ad-a903-4e0f-b093-1e1ac0c37ad2