Ransomware Warlock wchodzi przez SharePoint, cztery duże ofiary w dwa miesiące

Chińska grupa ransomware Warlock w ciągu dwóch miesięcy zaatakowała cztery duże organizacje w krajach hiszpańsko- i portugalskojęzycznych. Do sieci ofiar wchodzi przez podatności w Microsoft SharePoint. Tak wynika z badań Symanteca opisanych przez Dark Reading.

Ofiarami padły przedsiębiorstwo wodociągowe, operator telekomunikacyjny, regionalny organ administracji i uniwersytet. Grupa pojawiła się latem 2025 roku. Symantec nazywa ją Longlegs, a Microsoft Storm-2603. Jej taktyka przypomina działania szpiegostwa państwowego, ale grupa zachowuje się jak gang przestępczy i szyfruje dane ofiar. Pierwsze ataki wykorzystywały łańcuch exploitów ToolShell. Symantec nie wie, czy grupa nadal z niego korzysta, czy sięga po nowsze luki w SharePoint. Amerykańska agencja CISA dodała latem kilka takich luk do katalogu Known Exploited Vulnerabilities.

Kogo dotyczy

Organizacje korzystające z Microsoft SharePoint, przede wszystkim duże podmioty z sektorów krytycznych w krajach hiszpańsko- i portugalskojęzycznych. Symantec nie podaje, których wersji SharePoint dotyczą ataki.