Warlock-Ransomware nimmt Wasser- und Telekommunikationsanbieter ins Visier

Angreifer hinter der Warlock-Ransomware haben einen Wasserversorger, einen Telekommunikationsanbieter, eine regionale Behörde und eine Universität über anfällige SharePoint-Server angegriffen.

Forscher von Symantec und Carbon Black brachten die Angriffe mit Longlegs in Verbindung, einer Gruppe mit Verbindungen nach China, die mit der Entwicklung von Warlock in Zusammenhang steht. In den vergangenen zwei Monaten scheint sich ihre Aktivität auf portugiesisch- und spanischsprachige Länder in Europa, Afrika und Lateinamerika konzentriert zu haben.

Eine Untersuchung zeigte, wie schnell die Angreifer Ransomware verbreiten konnten, nachdem sie Sicherheitssoftware deaktiviert hatten. Innerhalb von etwa zwei Stunden verteilten sie ein Werkzeug zur Deaktivierung von Schutzmaßnahmen auf mindestens 40 Computer und starteten anschließend auf mindestens 33 davon Ransomware.

SharePoint-Sicherheitslücken bieten einen Einstiegspunkt

Die Gruppe verschafft sich üblicherweise Zugang, indem sie Schwachstellen in lokal betriebenen SharePoint-Installationen ausnutzt. Anschließend installiert sie eine Webshell, die mehrere SharePoint-Versionen unterstützt und den Angreifern die Interaktion mit kompromittierten Servern ermöglicht.

Die Warlock-Ransomware tauchte erstmals im Juni 2025 auf. Im darauffolgenden Monat erregte die Gruppe durch Angriffe Aufmerksamkeit, bei denen sie die als ToolShell bekannte Schwachstellenkette in SharePoint nutzte.

Diese Kette umfasst CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 und CVE-2025-53771. Microsoft verfolgt den zugehörigen Ransomware-Akteur unter der Bezeichnung Storm-2603, während Symantec den Namen Longlegs verwendet.

Unabhängig davon beobachtete Microsoft, dass die staatlich unterstützten Gruppen Linen Typhoon und Violet Typhoon ToolShell ausnutzten. Diese Beobachtungen betreffen eigenständige Akteure, die dieselben Schwachstellen verwenden.

Angreifer bereiteten das Netzwerk vor der Verschlüsselung vor

Bei einem Angriff, der am 22. Juli begann, beobachteten die Forscher zwei Tage nach der ersten Kompromittierung Erkundungsaktivitäten. Die Angreifer löschten außerdem Dateien, die offenbar der Vorbereitung gedient hatten.

Sie platzierten die Ransomware-Nutzlast in der SYSVOL-Freigabe der Domäne. Dieser Speicherort enthält Dateien, die zwischen Domänencontrollern repliziert werden.

Dadurch können Angreifer ihn nutzen, um eine Nutzlast über Anmeldeskripte oder Gruppenrichtlinien zu verteilen. Dieser Ansatz unterstützt die koordinierte Bereitstellung im gesamten Netzwerk, anstatt die Schadsoftware einzeln auf jeden Computer zu übertragen.

Unterdessen installierten die Angreifer die ausführbare Datei von Visual Studio Code Insiders als Dienst. Sie nutzten dessen integrierte Tunnelfunktion, um Fernverbindungen zu kompromittierten Rechnern herzustellen.

Die Forscher entdeckten außerdem NetExec auf einem System. Dieses Framework für Penetrationstests unterstützte die Erkundung von Active Directory, breit gestreute Anmeldeversuche mit Zugangsdaten und die Ausführung von Befehlen aus der Ferne.

Anfälliger Treiber half bei der Deaktivierung von Sicherheitswerkzeugen

Bei einigen Longlegs-Angriffen identifizierten die Forscher eine Technik, die als Bring Your Own Vulnerable Driver oder BYOVD bekannt ist.

Die Angreifer verwendeten einen signierten K7RKScan-Treiber, der die Schwachstelle CVE-2025-1055 enthielt. Über diesen Treiber setzten sie ein Werkzeug ein, das Antivirenschutz und Schutzfunktionen zur Erkennung und Reaktion auf Bedrohungen an Endgeräten deaktivieren sollte.

Der Angriff im Juli erreichte am 31. Juli seine letzte Phase. Die Forscher beobachteten, dass Warlock-Ransomware auf einzelnen Computern nahezu unmittelbar nach dem Ausfall ihrer Schutzfunktionen auftauchte.

Die Abfolge verdeutlicht somit die Rolle der Beeinträchtigung von Sicherheitswerkzeugen bei der Bereitstellung der Ransomware. Die Angreifer schwächten die Schutzmaßnahmen an den Endgeräten, bevor sie die Verschlüsselung auf mehreren Rechnern starteten.

SharePoint bleibt ein Zugangsweg zu Netzwerken

Die Erkenntnisse zeigen, dass ToolShell und andere SharePoint-Schwachstellen Angreifern weiterhin Einstiegspunkte bieten.

Die gemeldeten Angriffe auf Wasser- und Telekommunikationsunternehmen belegen jedoch keine Störung der Wasserversorgung oder von Telekommunikationsdiensten. Der vorliegende Bericht beschreibt kompromittierte IT-Umgebungen und die Bereitstellung von Ransomware.

Symantec und Carbon Black veröffentlichten außerdem Kompromittierungsindikatoren zu Dateien und Infrastruktur, die mit den Angriffen in Verbindung stehen. Diese Informationen können Untersuchungen zu vermuteten Longlegs-Aktivitäten unterstützen.