Warlock ataca SharePoint en empresas de agua y telecomunicaciones

El grupo de ransomware vinculado a China, Warlock, ha atacado una empresa de servicios de agua, un proveedor de telecomunicaciones, un organismo gubernamental regional y una universidad aprovechando vulnerabilidades de SharePoint para obtener acceso inicial. Durante los últimos dos meses, el actor ha centrado su actividad en países de habla portuguesa y española en Europa, África y América Latina.

El grupo surgió en junio de 2025 y se hizo conocido un mes después al explotar una cadena de vulnerabilidades de día cero en Microsoft SharePoint conocida como ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771). Para agosto, Microsoft observó a los grupos de hackers respaldados por el Estado Linen Typhoon y Violet Typhoon utilizando exploits de ToolShell en ataques, junto con un actor de ransomware que la compañía rastrea como Storm-2603.

Despliegue de un 'EDR killer' en 40 hosts

La empresa de ciberseguridad Symantec identifica al mismo actor como Longlegs y atribuye al grupo el desarrollo del ransomware Warlock. Según los investigadores, en una intrusión que comenzó el 22 de julio, el actor desplegó una herramienta que deshabilitó el software de protección en "al menos 40 hosts en aproximadamente dos horas". Posteriormente, el atacante lanzó el ransomware Warlock en al menos 33 hosts.

Tras obtener acceso, normalmente explotando vulnerabilidades en implementaciones locales de SharePoint, el atacante coloca un web shell diseñado para funcionar en múltiples versiones de SharePoint. Los investigadores de Symantec y Carbon Black señalan que en algunos ataques atribuidos a Longlegs se desplegó una herramienta para matar AV/EDR mediante la técnica 'bring your own vulnerable driver' (BYOVD), utilizando un controlador firmado K7RKScan vulnerable a CVE-2025-1055.

El análisis de la intrusión del 22 de julio reveló que dos días después de obtener el acceso inicial, el actor realizó actividades de reconocimiento y eliminó lo que parecían ser artefactos de preparación.

Uso de la capacidad de túnel de VS Code

El payload del ransomware se almacenó en el recurso compartido SYSVOL del dominio, una ubicación que guarda archivos públicos y se replica en todos los controladores de dominio. Los investigadores afirman que este es "un método conocido para distribuir un payload y ejecutarlo mediante un script de inicio de sesión o un objeto de directiva de grupo en toda una red a la vez, en lugar de host por host".

Durante el ataque, el archivo ejecutable principal de Visual Studio Code Insiders se instaló como servicio para permitir la conexión remota a las máquinas comprometidas utilizando la capacidad de túnel integrada de VS Code. En uno de los sistemas, los investigadores encontraron el framework de pruebas de penetración de código abierto NetExec, que ayudó al atacante con la enumeración de Active Directory, el 'credential spraying' y la ejecución remota de comandos.

La etapa final del ataque ocurrió el 31 de julio, tras desplegar el 'AV/EDR killer', con el ransomware Warlock "apareciendo casi tan pronto como se deshabilitó la protección en cada host". Los investigadores advierten que ToolShell y otras vulnerabilidades de SharePoint siguen siendo vectores viables de acceso inicial, más de un año después de que Warlock surgiera explotando fallos de SharePoint.

El informe de los cazadores de amenazas de Symantec y Carbon Black incluye un conjunto de indicadores de compromiso para archivos e infraestructura utilizados en los ataques.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre lo que cambian los ataques a velocidad de IA, lo que los defensores deben dejar de hacer y cómo validar, decidir, corregir y volver a validar a velocidad de máquina.