Warlock-løsepengevirus retter seg mot vann- og telekomoperatører

Angripere bak Warlock-løsepengevirus har rettet angrep mot et vannselskap, en telekomleverandør, en regional myndighet og et universitet via sårbare SharePoint-servere.

Forskere hos Symantec og Carbon Black knyttet inntrengningene til Longlegs, en gruppe med tilknytning til Kina som forbindes med utviklingen av Warlock. I løpet av de siste to månedene ser aktiviteten ut til å ha konsentrert seg om portugisisk- og spansktalende land i Europa, Afrika og Latin-Amerika.

Én undersøkelse viste hvor raskt angriperne kunne spre løsepengevirus etter å ha deaktivert sikkerhetsprogramvare. De distribuerte et verktøy som deaktiverer beskyttelse, til minst 40 datamaskiner i løpet av omtrent to timer, og startet deretter løsepengevirus på minst 33.

SharePoint-sårbarheter gir en vei inn

Gruppen skaffer seg vanligvis tilgang ved å utnytte sårbarheter i lokale SharePoint-installasjoner. Deretter installerer den et webskall som støtter flere SharePoint-versjoner, slik at angriperne kan samhandle med kompromitterte servere.

Warlock-løsepengevirus dukket først opp i juni 2025. Måneden etter fikk gruppen oppmerksomhet gjennom angrep som involverte sårbarhetskjeden i SharePoint kjent som ToolShell.

Denne kjeden omfatter CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 og CVE-2025-53771. Microsoft sporer den tilknyttede løsepengevirusaktøren som Storm-2603, mens Symantec bruker navnet Longlegs.

Separat observerte Microsoft at de statsstøttede gruppene Linen Typhoon og Violet Typhoon utnyttet ToolShell. Disse observasjonene gjelder forskjellige aktører som bruker de samme sårbarhetene.

Angriperne forberedte nettverket før krypteringen

I en inntrengning som startet 22. juli, observerte forskerne rekognoseringsaktivitet to dager etter den første kompromitteringen. Angriperne slettet også filer som så ut til å ha blitt brukt i forberedelsesfasen.

De plasserte løsepengeviruset i domenets SYSVOL-ressurs. Denne plasseringen inneholder filer som replikeres mellom domenekontrollere.

Dermed kan angripere bruke den til å distribuere skadevare gjennom påloggingsskript eller gruppepolicy. Denne fremgangsmåten støtter koordinert utrulling på tvers av et nettverk i stedet for separat levering til hver datamaskin.

I mellomtiden installerte angriperne den kjørbare filen for Visual Studio Code Insiders som en tjeneste. De brukte den innebygde tunnelfunksjonen til å opprette eksterne forbindelser til kompromitterte maskiner.

Forskerne oppdaget også NetExec på ett system. Dette rammeverket for penetrasjonstesting støttet kartlegging av Active Directory, spredte innloggingsforsøk med påloggingsopplysninger og ekstern kjøring av kommandoer.

Sårbar driver bidro til å deaktivere sikkerhetsverktøy

I enkelte Longlegs-angrep identifiserte forskerne en teknikk kjent som bring your own vulnerable driver, eller BYOVD.

Angriperne brukte en signert K7RKScan-driver som inneholdt sårbarheten CVE-2025-1055. Gjennom denne driveren distribuerte de et verktøy utviklet for å deaktivere antivirus og beskyttelse for endepunktdeteksjon og -respons.

Inntrengningen i juli nådde sin siste fase 31. juli. Forskerne observerte at Warlock-løsepengevirus dukket opp på enkelte datamaskiner nesten umiddelbart etter at beskyttelsen sluttet å fungere.

Hendelsesforløpet fremhever dermed rollen deaktivering av sikkerhetsverktøy spilte i utrullingen. Angriperne svekket endepunktforsvaret før de startet kryptering på flere maskiner.

SharePoint er fortsatt en vei inn i nettverk

Funnene viser at ToolShell og andre SharePoint-sårbarheter fortsatt gir angripere inngangspunkter.

De rapporterte angrepene mot vann- og telekommunikasjonsorganisasjoner fastslår imidlertid ikke at vannforsyningen eller telekomtjenestene ble forstyrret. Den tilgjengelige redegjørelsen beskriver kompromitterte IT-miljøer og utrulling av løsepengevirus.

Symantec og Carbon Black publiserte også indikatorer på kompromittering som omfatter filer og infrastruktur knyttet til angrepene. Disse opplysningene kan støtte undersøkelser av mistenkt Longlegs-aktivitet.