Warlock Exploits SharePoint Flaws to Disable Security Tools and Deploy Ransomware

Warlock : Campagne de ransomwares ciblant les infrastructures SharePoint

Le groupe de cybermenaces Warlock (aussi appelé Longlegs, Gold Salem ou Storm-2603), potentiellement lié à la Chine, mène une campagne active visant les serveurs Microsoft SharePoint non patchés. Les attaques ciblent principalement des infrastructures critiques, des entités gouvernementales et des universités dans des pays hispanophones et lusophones.

Points clés de l’attaque :

• Vecteur d’entrée : Exploitation de vulnérabilités (anciennes et récentes) dans SharePoint pour déployer des web shells.
• Méthodologie : Vol des clés machine ASP.NET pour générer des charges utiles signées, permettant une exécution de code à distance (RCE) au sein du pool d’applications SharePoint.
• Mise à l’échelle : Utilisation du partage réseau SYSVOL pour propager massivement le ransomware sur le domaine.
• Techniques avancées : Utilisation du détournement de DLL, du Living-off-the-Land (LotL) et de la fonctionnalité de tunnel de Visual Studio Code pour maintenir un accès à distance.

Vulnérabilité notable :

• CVE-2025-1055 : Exploitation du pilote vulnérable K7RKScan.sys via une technique BYOVD (Bring Your Own Vulnerable Driver) pour désactiver les solutions de sécurité sur les hôtes compromis.

Recommandations :

• Mise à jour immédiate : Appliquer tous les correctifs de sécurité pour les instances Microsoft SharePoint Server.
• Surveillance des privilèges : Restreindre l’accès au partage SYSVOL et surveiller les comportements anormaux au sein des pools d’applications IIS.
• Durcissement des systèmes : Auditer les pilotes chargés sur les serveurs pour détecter l’utilisation de pilotes tiers connus comme vulnérables.
• Protection des terminaux : Renforcer les règles de détection sur les outils de contrôle à distance (comme VS Code tunnels) et les logiciels d’administration légitimes détournés à des fins malveillantes (Velociraptor).

Source