WarLock-Ransomware-Angriffe nehmen im September zu

Die Ransomware-Gruppe WarLock hat ihre Aktivitäten massiv ausgeweitet und beansprucht im September 2025 über 60 Opfer. Die Gruppe, auch bekannt als Gold Salem oder Storm-2603, hat große Unternehmen, Telekommunikationsanbieter und Regierungsbehörden weltweit ins Visier genommen. Der Anstieg der WarLock-Ransomware-Angriffe zeigt, wie schnell eine neue Gruppe an Bedeutung gewinnen kann.

Wer ist WarLock?

Erstmals im März 2025 beobachtet, hat sich WarLock einen Ruf für kühne Angriffe erarbeitet. Sicherheitsforscher bringen die Gruppe mit fortschrittlichen Taktiken in Verbindung, darunter die Ausnutzung von Schwachstellen in Microsoft SharePoint. Einige Experten vermuten mögliche Verbindungen nach China.

WarLock ist außerdem bekannt für seine maßgeschneiderten ToolShell-Ketten, den Einsatz von Webshells zur Persistenz und den Missbrauch legitimer Tools wie Velociraptor. Für den Diebstahl von Zugangsdaten setzt die Gruppe auf Mimikatz, während PsExec und Impacket für laterale Bewegungen genutzt werden. Mit Hilfe von Group Policy Objects (GPOs) verbreitet WarLock Ransomware-Payloads mit hoher Geschwindigkeit über Netzwerke.

Hochkarätige Opfer

In den letzten Monaten hat WarLock Organisationen in Nordamerika, Europa und Südamerika angegriffen. Die Opfer reichen von kleinen Unternehmen bis hin zu multinationalen Konzernen.

Zwei große Telekommunikationsunternehmen, Orange in Frankreich und Colt im Vereinigten Königreich, gehörten zu den aufsehenerregendsten Fällen. Beim Angriff auf Colt behauptet WarLock, rund eine Million Dokumente gestohlen zu haben, die nun versteigert werden.

Warum es im September zu einem Anstieg kam

Das Sicherheitsunternehmen Sophos berichtet, dass WarLock seine Aktivitäten im September drastisch gesteigert hat. Auf der Leak-Seite der Gruppe wurden über 60 Organisationen aufgeführt, womit sie zu den aktivsten Ransomware-Akteuren des Monats gehörte. Die Kombination aus Zero-Day-Exploits und aggressivem Datendiebstahl macht die Gruppe besonders gefährlich.

Verteidigungsmaßnahmen

Organisationen können das Risiko verringern, indem sie:

• Sicherheitsupdates schnell installieren, insbesondere für SharePoint-Schwachstellen.
• Internet-exponierte Dienste überwachen.
• Multi-Faktor-Authentifizierung (MFA) erzwingen.
• EDR-Lösungen (Endpoint Detection and Response) einsetzen.
• Starke Strategien für Incident Response und Backups aufrechterhalten.

Fazit

Der Anstieg der WarLock-Ransomware-Angriffe beweist, dass neue Gruppen schnell zu globalen Bedrohungen werden können. Mit über 60 Opfern in nur einem Monat und kühnen Angriffen auf Telekommunikationsanbieter und Unternehmen hat sich WarLock als eine der gefährlichsten Ransomware-Operationen des Jahres 2025 etabliert. Organisationen müssen schnell handeln, Schwachstellen schließen und ihre Abwehrmaßnahmen verstärken, um nicht das nächste Ziel zu werden.