Den Kinaanknutna gruppen bakom utpressningsprogrammet Warlock riktade in sig på ett vattenverk, en telekomleverantör, en regional myndighet och ett universitet genom att utnyttja sårbarheter i SharePoint för att få första åtkomst, enligt en rapport från forskare vid Symantec och Carbon Black.
Under de senaste två månaderna verkar hotaktören ha fokuserat på portugisisk- och spansktalande länder i Europa, Afrika och Latinamerika. Gruppen dök upp i juni 2025 och uppmärksammades en månad senare när den utnyttjade en kedja av så kallade zero day-sårbarheter i Microsoft SharePoint, känd som ToolShell: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 och CVE-2025-53771. Microsoft såg senare andra hackergrupper och en utpressningsaktör som företaget spårar som Storm-2603 utnyttja ToolShell.
Symantec identifierar aktören som Longlegs och tillskriver gruppen utvecklingen av Warlock. I ett intrång som inleddes den 22 juli inaktiverade angriparna säkerhetsprogram på ”minst 40 värdar inom ungefär två timmar”, uppger forskarna. Därefter startade de utpressningsprogrammet på minst 33 värdar.
Forskarna säger att angriparna använde en sårbar, signerad drivrutin, ett webbskal och domänens SYSVOL-resurs för att sprida nyttolasten. De hittade också Visual Studio Code Insiders installerat som en tjänst för fjärråtkomst och ramverket NetExec med öppen källkod på ett system. Utpressningsprogrammet distribuerades den 31 juli, efter att säkerhetsskyddet hade inaktiverats.
Forskarna varnar för att ToolShell och andra sårbarheter i SharePoint fortfarande kan användas för att få första åtkomst. Rapporten innehåller indikatorer på intrång för filer och infrastruktur som användes i attackerna.
Kommentarer
0Inga kommentarer ännu. Skriv den första.