Warlock Exploits SharePoint Flaws to Disable Security Tools and Deploy Ransomware
The Hacker News · 3 oct, 16:36
Qué hacer: Aplica todos los parches disponibles para Microsoft SharePoint Server y audita las instancias expuestas; desactiva la característica de túnel de VS Code en sistemas comprometidos.
El grupo de ciberdelincuentes Warlock, vinculado a China, continúa explotando vulnerabilidades en Microsoft SharePoint para desactivar herramientas de seguridad e implantar ransomware en organizaciones de países hispanohablantes y lusohablantes. En los últimos dos meses, ha comprometido al menos cuatro entidades, entre ellas operadores de infraestructura crítica, un gobierno regional y una universidad, situadas en Europa, África y América Latina.
Warlock, también rastreado como Gold Salem, Longlegs y Storm-2603, ganó notoriedad a mediados de 2025 al explotar vulnerabilidades zero-day denominadas "ToolShell" en SharePoint para desplegar ransomware. El grupo utiliza múltiples tácticas: inyecta web shells en servidores SharePoint locales para extraer claves de máquina ASP.NET, las cuales abusa para forjar payloads firmados y lograr ejecución remota de código en el pool de aplicaciones. Como técnica de evasión, aprovecha el controlador vulnerable K7RKScan.sys (CVE-2025-1055) mediante BYOVD para desactivar software de seguridad.
En un ataque contra un operador de infraestructura crítica, los atacantes distribuyeron una herramienta de desactivación de seguridad a al menos 40 ordenadores en dos horas, luego desplegaron Warlock en 33 hosts utilizando la compartición SYSVOL del dominio. El grupo también aprovecha herramientas legítimas como Velociraptor para C2, descarga payloads adicionales desde servicios de almacenamiento en la nube, abusa de la característica de túnel de Visual Studio Code, y ejecuta herramientas living-off-the-land para reconocimiento. La actividad continua, más de un año después de su aparición inicial, sugiere que la explotación de ToolShell sigue siendo una ruta viable de acceso inicial en servidores SharePoint sin parches.
Puntos clave
- Warlock ha comprometido infraestructuras críticas, gobiernos y universidades en países hispanohablantes y lusohablantes desde hace dos meses
- Utiliza vulnerabilidades zero-day de SharePoint (ToolShell) y el controlador vulnerable K7RKScan.sys (CVE-2025-1055) mediante BYOVD
- Extrae claves ASP.NET para forjar payloads y lograr RCE en el pool de aplicaciones de SharePoint
- Descarga payloads desde catbox.moe y wasabisys.com, abusa de VS Code tunnels y SYSVOL para desplegar ransomware a escala
- La explotación continúa sin parches en servidores SharePoint; se sospecha un patrón oportunista o dirigido contra países hispanohablantes