Рансъмуерът Warlock се възползва от уязвимости в SharePoint, за да атакува водни и телеком оператори

Атакуващ със връзки с Китай продължава да се възползва от уязвимости в Microsoft SharePoint Server за внедряване на рансъмуера Warlock, като последните атаки засягат организации от съществено значение и обществения сектор в португалско- и испански-говорещи страни.

Symantec проследява оператора под името Longlegs, докато Microsoft използва Storm-2603; по-ранна дейност е свързвана също с CL-CRI-1040, CamoFei и ChamelGang.

През последните два месеца кампанията компрометира поне четири организации: водоснабдително дружество, телекомуникационен доставчик, регионален държавен орган и университет в Европа, Африка и Латинска Америка.

Рансъмуерът Warlock се възползва от слабости в SharePoint

Warlock се появи през юни 2025 г. и бързо привлече вниманието, след като бе внедрен чрез веригата от уязвимости „ToolShell“ в SharePoint. ToolShell комбинира CVE-2025-49704 и CVE-2025-49706, докато последващите заобикаляния бяха обозначени като CVE-2025-53770 и CVE-2025-53771.

CISA потвърди, че веригата е позволила неоторизиран достъп до локални сървъри на SharePoint, разкриване на вътрешни конфигурации и отдалечено изпълнение на код.

Warlock беше сред засечените зловредни кодове на компрометираните системи. По-нови слабости в SharePoint, разкрити през 2026 г., поддържат повърхността за атака актуална, като CISA предупреждава за активна експлоатация, засягаща поддържаните локални издания.

Според изследване, публикувано от Symantec, Longlegs обикновено поставя ASPX уебшел в директорията LAYOUTS на SharePoint, като насочва атаките към няколко версии на продукта едновременно.

Уебшелът извлича ASP.NET ключовете на машината, позволявайки на атакуващите да фалшифицират подписани __VIEWSTATE зловредни кодове и да изпълняват код в пула от приложения на SharePoint.

Зареждането на последващ зловреден код се извършва чрез DLL sideloading, докато инсталаторите се извличат от легитимни хостинг услуги, включително Catbox и Wasabi, което помага на злонамерения трафик да изглежда като обичайна облачна дейност.

При едно от проникванията в критична инфраструктура дейността започва на 22 юли 2026 г., когато уебшел се появява на SharePoint сървър. По-късно атакуващите изпълняват whoami, net user /domain и nltest /domain_trusts, внедряват двойки за sideloading и използват NetExec за разузнаване на Active Directory, атака с напасване на идентификационни данни и отдалечено изпълнение.

Те също така инсталират подписания от Microsoft code-insiders.exe като услуга и злоупотребяват с функцията за тунелиране на Visual Studio Code, създавайки скрит достъп през инфраструктура, която защитниците могат да асоциират с легитимни администратори или разработчици.

Преди криптирането Longlegs изпраща инструмент за прекратяване на AV и EDR към поне 40 хоста за около два часа. Последните операции използват подписания, но уязвим драйвер K7RKScan, проследяван като CVE-2025-1055, за прекратяване на привилегировани процеси от пространството на ядрото — техника от типа bring-your-own-vulnerable-driver.

От NIST заявяват, че уязвимостта произтича от липсваща авторизация в IOCTL обработчика на драйвера и засяга версии на K7 Security Anti-Malware, по-стари от 23.0.0.10. Разследващите предупреждават, че не са идентифицирали окончателно конкретния драйвер, използван при това проникване.

Warlock последва почти веднага на поне 33 системи. Атакуващите поставят run.exe, rune.exe и бележката с откуп „how to restore your files.txt“ в споделената папка SYSVOL на компрометиранияโดмейн.

Тъй като SYSVOL се репликира между контролерите наโดмейна и е достъпна за четене в целияโดмейн, обикновената репликация на разпределената файлова система (DFS-R) спомага за широкото доставяне на зловредния код, превръщайки надеждната инфраструктура на Active Directory в канал за разпространение на рансъмуер.

Кампанията показва защо самото инсталиране на корекции за сигурност е недостатъчно след подозрение за експлоатация на SharePoint. Защитниците трябва да търсят уебшелове и необичайно поведение на работните процеси на SharePoint, да ротират ключовете на ASP.NET и IIS след премахване на присъствието, да активират AMSI в Full Mode, да внедрят EDR, да ограничат достъпа на SharePoint до интернет и да проверяват подозрителни заявки към ToolPane.aspx.

CISA допълнително препоръчва поставянето на всяко необходимо публично внедряване зад автентифициран Layer 7 прокси сървър и блокиране на външния достъп до Централната администрация. За операторите във водния сектор, телекомите, държавното управление и образованието, забавената корекция може да превърне един експониран сървър за съвместна работа в оперативно прекъсване на ниво целияโดмейн.

Моделът на таргетиране може да отразява уязвими експонирани сървъри или планирано регионално възлагане, но и двете обяснения изискват спешно откриване на активи, ограничаване и планиране на възстановяването веднага.

Файлови индикатори

Мрежови индикатори