Warlock-ransomware riktar in sig på vatten- och telekomoperatörer

Angripare bakom Warlock-ransomware har riktat in sig på ett vattenbolag, en telekomleverantör, en regional myndighet och ett universitet via sårbara SharePoint-servrar.

Forskare vid Symantec och Carbon Black kopplade intrången till Longlegs, en grupp med kopplingar till Kina som förknippas med utvecklingen av Warlock. Under de senaste två månaderna verkar gruppens aktivitet ha koncentrerats till portugisisktalande och spansktalande länder i Europa, Afrika och Latinamerika.

En undersökning visade hur snabbt angriparna kunde sprida ransomware efter att ha inaktiverat säkerhetsprogram. De distribuerade ett verktyg som inaktiverar skydd till minst 40 datorer inom ungefär två timmar och startade därefter ransomware på minst 33.

SharePoint-brister ger en väg in

Gruppen skaffar sig vanligtvis åtkomst genom att utnyttja sårbarheter i lokalt driftade SharePoint-installationer. Därefter installerar den ett webbskal som stöder flera SharePoint-versioner och ger angriparna möjlighet att interagera med komprometterade servrar.

Warlock-ransomware dök först upp i juni 2025. Månaden därpå väckte gruppen uppmärksamhet genom attacker som utnyttjade sårbarhetskedjan i SharePoint som kallas ToolShell.

Den kedjan omfattar CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 och CVE-2025-53771. Microsoft spårar den tillhörande ransomware-aktören som Storm-2603, medan Symantec använder namnet Longlegs.

Separat observerade Microsoft hur de statsstödda grupperna Linen Typhoon och Violet Typhoon utnyttjade ToolShell. Dessa observationer gäller skilda aktörer som använder samma sårbarheter.

Angriparna förberedde nätverket före krypteringen

Vid ett intrång som inleddes den 22 juli observerade forskarna rekognoseringsaktivitet två dagar efter det ursprungliga intrånget. Angriparna raderade också filer som verkade ha fungerat som förberedande material.

De placerade ransomware-koden i domänens SYSVOL-resurs. Denna plats innehåller filer som replikeras mellan domänkontrollanter.

Därför kan angripare använda den för att distribuera skadlig kod genom inloggningsskript eller grupprinciper. Metoden möjliggör samordnad distribution över ett nätverk i stället för separat leverans till varje dator.

Samtidigt installerade angriparna den körbara filen för Visual Studio Code Insiders som en tjänst. De använde dess inbyggda tunnelfunktion för att upprätta fjärranslutningar till komprometterade datorer.

Forskarna upptäckte också NetExec på ett system. Detta ramverk för penetrationstestning stödde kartläggning av Active Directory, spridda inloggningsförsök med autentiseringsuppgifter och fjärrkörning av kommandon.

Sårbar drivrutin hjälpte till att inaktivera säkerhetsverktyg

I vissa Longlegs-attacker identifierade forskarna en teknik som kallas bring your own vulnerable driver, eller BYOVD.

Angriparna använde en signerad K7RKScan-drivrutin som innehöll sårbarheten CVE-2025-1055. Genom den drivrutinen distribuerade de ett verktyg utformat för att inaktivera antivirus och skydd för detektering och respons på slutpunkter.

Intrånget i juli nådde sin sista fas den 31 juli. Forskarna observerade hur Warlock-ransomware dök upp på enskilda datorer nästan omedelbart efter att deras skydd slutat fungera.

Händelseförloppet belyser därmed vilken roll störningen av säkerhetsverktyg spelade vid distributionen. Angriparna försvagade slutpunktsskyddet innan de startade kryptering på flera datorer.

SharePoint förblir en väg in i nätverk

Resultaten visar att ToolShell och andra SharePoint-sårbarheter fortsätter att ge angripare vägar in.

De rapporterade angreppen mot vatten- och telekomorganisationer fastställer dock inte att vattenförsörjningen eller telekomtjänsterna stördes. Den tillgängliga redogörelsen beskriver komprometterade IT-miljöer och distribution av ransomware.

Symantec och Carbon Black publicerade också intrångsindikatorer som omfattar filer och infrastruktur med koppling till attackerna. Dessa uppgifter kan stödja utredningar av misstänkt Longlegs-aktivitet.