За последние два месяца атакам подверглись не менее четырёх организаций. Среди них - оператор водоснабжения и телекоммуникационная компания, региональный государственный орган и университет. Все пострадавшие работают в португало- и испаноязычных странах Европы, Африки и Латинской Америки. Группировка применяла вымогателя Warlock в том числе против объектов критической инфраструктуры, поэтому последствия выходят за рамки ущерба отдельным компаниям. Отключение водоснабжения или связи затрагивает десятки тысяч людей.
Описание
Программа-вымогатель Warlock появилась в июне 2025 года. Несколько недель спустя о ней заговорили в связи с атаками на Microsoft SharePoint Server. Тогда злоумышленники эксплуатировали четыре уязвимости нулевого дня, объединённые в цепочку ToolShell. Речь идёт об уязвимостях CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 и CVE-2025-53771. В июле 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA, ведомство, отвечающее за защиту государственных сетей) предупредило о новых уязвимостях SharePoint. Эти ошибки, судя по всему, остаются в арсенале группировки.
За разработкой Warlock стоит группировка, которую отслеживают под именем Longlegs. Она же известна как Storm-2603, а ранее связывалась с кластерами активности CL-CRI-1040, CamoFei и ChamelGang. Группу относят к числу действующих в интересах Китая. Проникновение начинается с серверов SharePoint, развёрнутых внутри корпоративной сети, а не в облаке. По данным Symantec, после получения доступа злоумышленники размещают вредоносную веб-программу сразу в служебных каталогах, рассчитанных на несколько версий продукта. Такой приём гарантирует срабатывание вставки при любой установленной версии. Затем программа собирает ключи, дающие право подписывать внутренние обращения к серверу. Получив их, атакующие формируют поддельный, но формально корректный запрос и добиваются выполнения своего кода на сервере.
В одной из последних атак отсчёт пошёл с конца июля 2026 года. Сначала на сервере SharePoint появилась вредоносная вставка. Через два дня злоумышленники провели разведку: выяснили состав учётных записей и структуру домена. Ещё через несколько дней они проверили, что внедрённый код по-прежнему работает. После этого на машины начали приходить дополнительные компоненты. Спустя неделю после первого проникновения стартовало массовое отключение защиты и шифрование файлов. Весь путь от первой вставки до требования выкупа занял меньше десяти дней.
Закрепившись, группировка переходит к обходу защиты. Атакующие загружают вредоносный код в память через подмену библиотек, а дополнительные компоненты скачивают с обычных облачных файлообменников. За счёт этого их сетевой трафик смешивается с повседневной активностью сотрудников. Помимо этого, Longlegs активно пользуется штатными средствами операционной системы для разведки и запуска команд. Перед началом шифрования группа отключает защитные программы. Для этого она использует уязвимый, но подписанный драйвер K7RKScan (уязвимость CVE-2025-1055). Драйвер работает на уровне ядра операционной системы и позволяет принудительно завершать процессы антивирусов и средств обнаружения вторжений. Такой подход получил название "использование собственного уязвимого драйвера".
Удалённый доступ группировка поддерживает через встроенный механизм туннелирования в редакторе Visual Studio Code. Служебный компонент редактора она ставит как системную службу, а соединение идёт через инфраструктуру Microsoft. Для средств защиты такой трафик выглядит привычно, поскольку похож на обычный обмен данными с рабочих станций разработчиков и администраторов. Однако злоумышленники получают канал управления, который трудно отличить от легитимной активности.
Продвижение внутри сети идёт поэтапно. Сначала атакующие добавляют в группу локальных администраторов учётную запись с названием, похожим на служебную запись SharePoint. Маскировка под системного пользователя позволяет дольше не привлекать внимания. Затем для разведки домена и перебора учётных данных применяются открытые инструменты тестирования на проникновение. Так группа составляет карту сети и находит машины, на которых можно закрепиться.
Массовое развёртывание вымогателя опирается на служебную папку домена SYSVOL (область общей сетевой папки, содержимое которой автоматически копируется на все контроллеры домена). Размещённая там полезная нагрузка запускается сразу на десятках машин, а не по одной. В одной из атак на оператора критической инфраструктуры инструмент отключения защиты разошёлся по 40 узлам примерно за два часа. Шифрование стартовало почти сразу: Warlock и текстовый файл с требованием выкупа появились как минимум на 33 машинах.
География последних инцидентов заметно сузилась. Раньше Warlock фиксировали в США, Бразилии, Индии, России, Тайване и Японии. Теперь основная масса жертв сосредоточена в португало- и испаноязычных регионах. Причина может быть двоякой: злоумышленники либо ищут любые доступные серверы SharePoint с незакрытыми уязвимостями, либо получают целевые задания. Наличие среди пострадавших операторов критической инфраструктуры показывает, насколько ощутимы последствия успешной атаки на жизненно важные службы.
Защита строится на нескольких базовых мерах. Локальные установки SharePoint нужно своевременно обновлять и закрывать известные уязвимости. Доступ к служебным сетевым папкам лучше ограничить, а появление посторонних вставок на серверах - контролировать. Двухфакторная аутентификация усложняет захват учётных записей, сегментация сети мешает распространению шифрования на десятки машин сразу. Регулярная проверка подписанных драйверов и стороннего программного обеспечения помогает вовремя заметить попытку отключить защиту.
Индикаторы компрометации
