Warlock ransomware breach SharePoint in water, telecom operator attacks
BleepingComputer · 2 oct, 20:33
Qué hacer: Aplica los parches de seguridad para las vulnerabilidades ToolShell en SharePoint local (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770, CVE-2025-53771) y revisa la presencia de web shells, VS Code Insiders instalado como servicio, y artefactos de staging en SYSVOL.
El grupo ransomware Warlock, vinculado a China, ha explotado vulnerabilidades zero-day en Microsoft SharePoint (ToolShell) para comprometer una empresa de agua, un operador de telecomunicaciones, un organismo gubernamental regional y una universidad. El grupo, que emergió en junio de 2025, ha enfocado sus ataques en países hispanohablantes y lusófonos en Europa, África y América Latina durante los últimos dos meses.
Symantec identificó al actor como Longlegs y atribuyó el desarrollo del ransomware Warlock al grupo. En un ataque iniciado el 22 de julio, desplegaron una herramienta que deshabilitó software de protección en al menos 40 equipos en aproximadamente dos horas, seguido por el lanzamiento de Warlock en al menos 33 hosts.
El actor ganó acceso típicamente explotando vulnerabilidades en SharePoint local, luego desplegó un web shell compatible con múltiples versiones de SharePoint. En algunos ataques, utilizó un tool killer de AV/EDR mediante la técnica bring your own vulnerable driver (BYOVD) con el driver K7RKScan vulnerable a CVE-2025-1055. El ransomware se almacenó en la carpeta SYSVOL del dominio para su distribución mediante scripts de logon o Group Policy Objects. El actor también instaló Visual Studio Code Insiders como servicio para acceso remoto mediante tunneling, y desplegó el framework NetExec para enumeración de Active Directory, credential spraying y ejecución remota de comandos.
Puntos clave
- ToolShell: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770, CVE-2025-53771 en SharePoint
- Herramienta killer AV/EDR: CVE-2025-1055 en driver K7RKScan
- Ataque del 22 de julio: 40 hosts comprometidos, 33 con Warlock lanzado
- Objetivos: España, Portugal y países lusófonos en Africa y América Latina
- Técnicas: web shell, BYOVD, VS Code tunneling, NetExec, SYSVOL staging
Figuras de la fuente
