'Warlock' ransomware used in attacks on critical infrastructure in Portuguese, Spanish-speaking countries
The Record · 2 oct, 16:05
Qué hacer: Aplica todas las actualizaciones de SharePoint de 2025 y 2026 en despliegues expuestos a Internet y revisa los registros de acceso para detectar indicadores de reconocimiento o desactivación de seguridad.
Un grupo chino emplea el ransomware Warlock en ataques contra infraestructuras críticas en países lusófonos e hispanohablantes, aprovechando vulnerabilidades no parcheadas en Microsoft SharePoint. Las víctimas incluyen empresas de agua, telecomunicaciones, universidades y gobiernos regionales distribuidos por Europa, África y Latinoamérica, lo que refleja la capacidad del malware para impactar servicios esenciales.
Según el informe del equipo Symantec Threat Hunter, los atacantes explotan tanto las vulnerabilidades históricas de SharePoint conocidas como 'ToolShell' como nuevas fallos publicados recientemente por el gobierno estadounidense. El análisis indica que, aunque Microsoft ya advirtió en 2025 sobre este grupo chino, los ataques continúan en 2026 contra despliegues de SharePoint no actualizados para ninguna de las dos series de vulnerabilidades.
En los incidentes analizados, los atacantes llevaron a cabo un reconocimiento exhaustivo de los sistemas comprometidos, empleando herramientas para desactivar software de seguridad en docenas de hosts antes de desplegar Warlock. La campaña se concentra en países portugueses y hispanohablantes, ya sea por oportunismo explotando servidores SharePoint expuestos o por asignación deliberada de objetivos. La incidencia en operadores de infraestructura crítica subraya las consecuencias reales que pueden derivar de ataques de ransomware exitosos contra servicios esenciales.
Puntos clave
- Explotación activa de vulnerabilidades de SharePoint de 2025 y 2026 contra infraestructura crítica
- Grupo chino detrás de Warlock previamente usaba ransomware LockBit; no vinculado a otros grupos estatales chinos conocidos
- Atacantes desactivan defensa de seguridad antes de desplegar ransomware y usan herramientas de reconocimiento para mimetizarse como administradores
- En 2025 al menos 400 gobiernos y empresas fueron comprometidos; incidentes posteriores en Suiza en agosto