Смятаният за свързан с Китай злонамерен субект, известен като Warlock, продължава да използва уязвимости в Microsoft SharePoint – както стари, така и нови – при атаки, насочени към организации в португалско- и испаноезичните страни.

Активността, наблюдавана от екипа за откриване на заплахи на Symantec и Carbon Black, е засегнала критична инфраструктура, държавни институции и образователни организации.

„През последните два месеца Longlegs е атакувал поне четири организации, включително два оператора на критична инфраструктура (водоснабдително дружество и телекомуникационен доставчик), регионален държавен орган и университет“, заявяват от звеното за киберсигурност, собственост на Broadcom. „Жертвите са в португалско- и испаноезични страни в Европа, Африка и Латинска Америка.“

Warlock, проследяван също като Gold Salem, Longlegs и Storm-2603, придоби популярност през средата на 2025 г. във връзка с експлоатацията на zero-day уязвимости от типа „ToolShell“ в SharePoint с цел внедряване на рансъмуер в засегнатите системи.

По-рано тази година групата беше свързана с компрометирането на SmarterTools чрез експлоатиране на инстанция на SmarterMail без инсталирани корекции за сигурност. Тя също така разчита на легитимни инструменти като Velociraptor за командване и контрол (C2) и на техниката BYOVD (bring your own vulnerable driver) за деактивиране на софтуера за сигурност, работещ върху компрометиран хост.

Според Symantec Warlock показва припокриване с по-стари групи на активност, известни като CL-CRI-1040, CamoFei и ChamelGang.

„При едно от проникванията срещу оператор на критична инфраструктура атакуващите са разпространили инструмент, предназначен да деактивира софтуера за сигурност, до поне 40 хоста в рамките на около два часа, след което са внедрили Warlock на поне 33 хоста чрез разполагането му в SYSVOL споделения ресурс на домейна, откъдето обичайната репликация го е доставила до машините“, споделят изследователите.

Атаките, извършени от Warlock, се възползват от множество уязвимости в локални (on-premises) инсталации на Microsoft SharePoint Server. След като успешно осигурят достъп, киберпрестъпниците внедряват уеб шелове (web shells), които могат да атакуват различни версии на SharePoint.

Крайната цел на уеб шела е да събере ASP.NET machine ключовете на SharePoint фермата, които след това се използват за фалшифициране на валидно подписан зловреден код и постигане на отдалечено изпълнение на код в приложението на SharePoint (application pool).

Част от останалите наблюдавани тактики са посочени по-долу:

  • Използване на DLL sideloading за зареждане на зловреден код в паметта.
  • Изтегляне на последващ зловреден код от легитимни облачни услуги за споделяне и съхранение на файлове като catbox[.]moe и wasabisys[.]com с цел избягване на откриването.
  • Злоупотреба с легитимен, но уязвим драйвер K7RKScan.sys (CVE-2025-1055) като част от BYOVD атака за деактивиране на софтуера за сигурност. Същият драйвер по-рано е експлоатиран от атакуващите зад рансъмуера DragonForce.
  • Използване на легитимни системни инструменти (LotL / living-off-the-land) за разузнаване и изпълнение на команди върху компрометираните хостове. Това включва злоупотреба с вградената функция за тунелиране на Microsoft Visual Studio Code за улесняване на отдалечени връзки към заразени системи.
  • Разполагане на зловреден код в SYSVOL споделения ресурс на компрометирания домейн за масово внедряване на рансъмуер.

Сравнително наскоро, на 22 юли 2026 г., се съобщава, че атакуващите са експлоатирали уязвимости в SharePoint Server, за да внедрят уеб шел, да извършат разузнаване, да получат възможност за изпълнение на произволен код в приложението на SharePoint, да внедрят допълнителен зловреден код, да проникнат по-дълбоко в мрежата, да създадат VS Code тунели, да прекратят работата на софтуера за сигурност и в крайна сметка да стартират рансъмуер.

„Продължаващата активност на Longlegs, повече от година след първата поява на рансъмуера Warlock, показва, че експлоатацията на ToolShell и други свързани уязвимости в SharePoint остава жизнеспособен вектор за първоначален достъп за атакуващите при инсталации на SharePoint, които не са коригирани или обезопасени“, отбелязват Symantec и Carbon Black.

„Очевидният скорошен фокус върху португалско- и испаноезичните страни подсказва или опортюнистичен модел на насочване, воден от уязвими и открити SharePoint сървъри, или по-целенасочена задача.“