El grupo de ransomware Warlock, vinculado a China, atacó a una empresa de suministro de agua, un proveedor de telecomunicaciones, un organismo regional y una universidad al explotar vulnerabilidades de SharePoint para obtener acceso inicial, según un informe de investigadores de Symantec y Carbon Black.
Durante los últimos dos meses, el actor de amenazas parece haberse centrado en países de habla portuguesa y española de Europa, África y América Latina. El grupo apareció en junio de 2025 y llamó la atención un mes después al explotar una cadena de vulnerabilidades de día cero de Microsoft SharePoint conocida como ToolShell: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771. Más tarde, Microsoft observó que otros grupos de piratas informáticos y un actor de ransomware al que sigue como Storm-2603 utilizaban las vulnerabilidades de ToolShell.
Symantec identifica al actor como Longlegs y atribuye al grupo el desarrollo de Warlock. En una intrusión iniciada el 22 de julio, los atacantes desactivaron el software de seguridad en “al menos 40 equipos en aproximadamente dos horas”, según los investigadores. Después ejecutaron el ransomware en al menos 33 equipos.
Los investigadores afirman que los atacantes usaron un controlador firmado vulnerable, una web shell y el recurso SYSVOL del dominio para distribuir la carga maliciosa. También encontraron Visual Studio Code Insiders instalado como servicio para permitir el acceso remoto y el marco de pruebas de penetración de código abierto NetExec en uno de los sistemas. El ransomware se desplegó el 31 de julio, después de desactivar las protecciones de seguridad.
Los investigadores advierten que ToolShell y otras vulnerabilidades de SharePoint siguen siendo vías viables para obtener acceso inicial. Su informe incluye indicadores de compromiso relacionados con archivos e infraestructura utilizados en los ataques.
Comentarios
0Aún no hay comentarios. Escribe el primero.