Группировка Warlock использует уязвимости SharePoint для атак на критическую инфраструктуру

Исследователи из команды Symantec и Carbon Black Threat Hunter сообщили, что предположительно связанная с Китаем группировка, известная как Warlock, по-прежнему вооружается уязвимостями Microsoft SharePoint — вероятно, как старыми, так и новыми — для атак на организации в португало- и испаноязычных странах.

За последние два месяца группировка, которую Broadcom отслеживает под именем Longlegs, атаковала как минимум четыре организации: двух операторов критической инфраструктуры (водоканал и телекоммуникационную компанию), региональный орган власти и университет. Жертвы находились в странах Европы, Африки и Латинской Америки.

Старый знакомый

Warlock — он же Gold Salem, Longlegs и Storm-2603 — приобрёл известность в середине 2025 года в связи с эксплуатацией уязвимостей "ToolShell" в SharePoint нулевого дня для развёртывания вымогателя. Ранее в этом году группировку связывали со взломом SmarterTools через непропатченный экземпляр SmarterMail. Для управления заражёнными машинами злоумышленники используют легитимный инструмент Velociraptor, а для отключения защитного ПО — технику BYOVD (подгрузка собственного уязвимого драйвера). По данным Symantec, деятельность Warlock пересекается с более ранними кластерами CL-CRI-1040, CamoFei и ChamelGang.

Как устроена атака

Проникнув через уязвимости локальных серверов SharePoint, злоумышленники размещают веб-шеллы, цель которых — собрать ключи ASP.NET machine keys фермы SharePoint. С их помощью подделывается корректно подписанная полезная нагрузка, что открывает путь к удалённому выполнению кода внутри пула приложений SharePoint.

Далее в ход идут проверенные приёмы: загрузка вредоносного кода в память через DLL sideloading, скачивание следующих нагрузок с легитимных облачных хранилищ (catbox.moe, wasabisys.com) для маскировки, злоупотребление уязвимым драйвером K7RKScan.sys (CVE-2025-1055) — тем же, что ранее применяли операторы DragonForce. Для разведки используются встроенные средства Windows, а для удалённого доступа — функция туннелей в Visual Studio Code.

Масштаб впечатляет: в одной атаке на оператора критической инфраструктуры инструмент отключения защиты был разослан на не менее чем 40 узлов примерно за два часа, после чего вымогатель был развёрнут минимум на 33 машинах — его разместили в сетевой папке SYSVOL домена, и обычная репликация сама доставила его на компьютеры.

Последний зафиксированный эпизод датируется 22 июля 2026 года. По словам исследователей, более чем через год после появления Warlock эксплуатация ToolShell остаётся рабочим способом первоначального доступа для непропатченных развёртываний SharePoint. Фокус на португало- и испаноязычных странах может указывать как на оппортунистический выбор доступных уязвимых серверов, так и на более целенаправленное задание.

Источник: The Hacker News