Warlock-ransomware retter sig mod vand- og teleoperatører

Angribere bag Warlock-ransomware har angrebet et vandforsyningsselskab, en teleudbyder, en regional myndighed og et universitet via sårbare SharePoint-servere.

Forskere hos Symantec og Carbon Black knyttede indtrængningerne til Longlegs, en gruppe med forbindelser til Kina, som forbindes med udviklingen af Warlock. I løbet af de seneste to måneder ser gruppens aktivitet ud til at have koncentreret sig om portugisisk- og spansktalende lande i Europa, Afrika og Latinamerika.

En undersøgelse viste, hvor hurtigt angriberne kunne sprede ransomware efter at have deaktiveret sikkerhedssoftware. De distribuerede et værktøj til deaktivering af beskyttelse til mindst 40 computere på omkring to timer og startede derefter ransomware på mindst 33.

SharePoint-sårbarheder giver en vej ind

Gruppen skaffer sig typisk adgang ved at udnytte sårbarheder i lokale SharePoint-installationer. Derefter installerer den en webshell, der understøtter flere SharePoint-versioner og giver angriberne mulighed for at interagere med kompromitterede servere.

Warlock-ransomware dukkede første gang op i juni 2025. Den følgende måned tiltrak gruppen sig opmærksomhed gennem angreb, der involverede sårbarhedskæden i SharePoint kendt som ToolShell.

Denne kæde omfatter CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 og CVE-2025-53771. Microsoft sporer den tilknyttede ransomwareaktør som Storm-2603, mens Symantec bruger navnet Longlegs.

Separat observerede Microsoft, at de statsstøttede grupper Linen Typhoon og Violet Typhoon udnyttede ToolShell. Disse observationer vedrører forskellige aktører, der bruger de samme sårbarheder.

Angriberne forberedte netværket før krypteringen

Under en indtrængning, der begyndte den 22. juli, observerede forskerne rekognosceringsaktivitet to dage efter den oprindelige kompromittering. Angriberne slettede også filer, der tilsyneladende havde været brugt i forberedelsesfasen.

De placerede ransomwarekoden i domænets SYSVOL-deling. Denne placering indeholder filer, der replikeres mellem domænecontrollere.

Derfor kan angribere bruge den til at distribuere skadelig kode via logonscripts eller gruppepolitik. Denne fremgangsmåde understøtter koordineret udrulning på tværs af et netværk frem for særskilt levering til hver computer.

I mellemtiden installerede angriberne den eksekverbare fil til Visual Studio Code Insiders som en tjeneste. De brugte dens indbyggede tunnelfunktion til at oprette fjernforbindelser til kompromitterede maskiner.

Forskerne opdagede også NetExec på ét system. Dette framework til penetrationstest understøttede kortlægning af Active Directory, spredte loginforsøg med legitimationsoplysninger og fjernudførelse af kommandoer.

Sårbar driver hjalp med at deaktivere sikkerhedsværktøjer

I nogle Longlegs-angreb identificerede forskerne en teknik kendt som bring your own vulnerable driver, eller BYOVD.

Angriberne brugte en signeret K7RKScan-driver, der indeholdt sårbarheden CVE-2025-1055. Via denne driver distribuerede de et værktøj, der var udviklet til at deaktivere antivirus og beskyttelse til endpoint detection and response.

Indtrængningen i juli nåede sin sidste fase den 31. juli. Forskerne observerede, at Warlock-ransomware dukkede op på enkelte computere næsten umiddelbart efter, at deres beskyttelse holdt op med at fungere.

Hændelsesforløbet fremhæver dermed den rolle, som deaktivering af sikkerhedsværktøjer spillede i udrulningen. Angriberne svækkede endpointbeskyttelsen, før de startede kryptering på flere maskiner.

SharePoint er fortsat en vej ind i netværk

Resultaterne viser, at ToolShell og andre SharePoint-sårbarheder fortsat giver angribere adgangsveje.

De rapporterede angreb mod vandforsynings- og telekommunikationsorganisationer fastslår dog ikke, at vandforsyningen eller teletjenesterne blev forstyrret. Den tilgængelige redegørelse beskriver kompromitterede IT-miljøer og udrulning af ransomware.

Symantec og Carbon Black offentliggjorde også kompromitteringsindikatorer, der omfatter filer og infrastruktur knyttet til angrebene. Disse oplysninger kan understøtte undersøgelser af formodet Longlegs-aktivitet.