Symantec: Warlock ransomware i dalje koristi SharePoint ranjivosti

Warlock ransomware grupa, koju Symantec povezuje sa kineskom hakerskom grupom poznatom kao Longlegs i Storm-2603, nastavlja da napada SharePoint servere u organizacijama kritične infrastrukture, državnim telima i obrazovnim ustanovama.

Prošle godine su dve SharePoint ranjivosti, nazvane ToolShell, korišćene kao ranjivosti nultog dana najmanje dve nedelje pre javnog otkrivanja. U roku od nekoliko nedelja napadači su upali u više od 400 SharePoint servera, a do oktobra 2025. zabeleženi su brojni Warlock napadi koji su iskorišćavali upravo ToolShell.

U poslednja dva meseca, prema novom Symantec izveštaju, pogođene su najmanje četiri organizacije u zemljama portugalskog i španskog govornog područja: vodovod, telekom operater, regionalno vladino telo i univerzitet. U jednom upadu, napadači su na najmanje 40 sistema pokrenuli alat za onemogućavanje bezbednosnog softvera, a zatim izvršili Warlock na najmanje 33 računara.

Pored ToolShell, napadači bi mogli koristiti i novije SharePoint ranjivosti. Nakon upada obično postavljaju webshell i izvršavaju ransomware. Za prikrivanje koriste legitimne servise za skladištenje, ranjivi drajver za gašenje bezbednosnih alata i tunel u Visual Studio Code. Warlock se širi i preko SYSVOL deljenog direktorijuma. Symantec zaključuje da su nezakrpljene SharePoint instalacije i dalje održiva meta.

Šta uraditi

• Proveriti da li su SharePoint serveri zakrpljeni za poznate ranjivosti, posebno ToolShell.
• Smanjiti izloženost SharePoint servera internetu i pregledati sisteme za nepoznate webshell datoteke ili neobične servise.