Группа вредоносного программного обеспечения Warlock, ранее считавшаяся новым игроком на сцене киберпреступности, может иметь значительно более долгую историю активности, уходящую корнями в 2019 год. Новые исследования показывают, что за этим программа-вымогатель стоит китайская группировка, связанная с разнообразной вредоносной деятельностью, включая шпионаж и атаки на критическую инфраструктуру.
Описание
Warlock впервые появился в июне 2025 года, но настоящую известность приобрел после серии атак через уязвимость ToolShell в Microsoft SharePoint (CVE-2025-53770) 19 июля 2025 года. Особенностью этой угрозы стало её происхождение: в отличие от большинства операторов программ-вымогателей, базирующихся в России или странах СНГ, Warlock ассоциируется с китайской группой.
Исследование CheckPoint от 31 июля раскрыло детали деятельности группировки Storm-2603, использовавшей уязвимость ToolShell для развертывания Warlock и другого известного ransomware - LockBit. Группа применяла сложные техники, включая DLL sideloading (техника подгрузки библиотек) - популярный метод среди китайских хакерских группировок. Также использовалась собственная командная инфраструктура, которую сами атакующие называли ak47c2.
Palo Alto Unit 42 в своем анализе отметила, что инструментарий Project AK47, используемый Storm-2603, включал бэкдор, загрузчики и payload (полезную нагрузку) ransomware под названием AK47/Anylock. Примечательно, что группировка использовала легитимное приложение 7zip для подгрузки malicious DLL-библиотеки.
В начале августа Symantec и Carbon Black зафиксировали аналогичные методы при атаке на инжиниринговую компанию на Ближнем Востоке, где также использовалась техника sideloading через 7z.dll. Trend Micro в своих недавних исследованиях предположила, что Warlock может быть rebrand (ребрендингом) более раннего Anylock, поскольку наблюдала добавление расширения .x2anylock к зашифрованным файлам. Также аналитики отметили возможную связь с прекратившей деятельность группировкой Black Basta, обнаружив сходства в тактиках и стиле ведения переговоров.
Наиболее интересные открытия касаются истории группы. В атаках, исследованных Symantec и Carbon Black в августе 2025 года, использовался кастомный инструмент обхода защиты, подписанный украденным цифровым сертификатом от разработчика coolschool. Этот сертификат применялся еще в 2022 году для подписи Cobalt Strike и BYOVD-модулей. Исследователи TeamT5 связывали этот сертификат с APT-группой CamoFei, активной с 2019 года и занимавшейся широким спектром атак - от шпионажа до ransomware.
SentinelOne, называющая эту группу ChamelGang, сообщала об атаках на организации в США, Бразилии, Индии, России, Тайване и Японии, включая Presidency of Brazil и All-India Institute of Medical Sciences. Эти случаи демонстрируют размытие границ между кибершпионажем и киберпреступностью, где ransomware-атаки могут использоваться для сокрытия следов шпионской деятельности.
Эволюция инструментария группы и связи с более ранними атаками свидетельствуют, что стоящие за Warlock actors (акторы) могут быть активны с 2019 года. Разнообразие их операций - от государственного шпионажа до криминальных атак - указывает на возможную модель contracting (подрядной деятельности), когда группа предоставляет услуги различным заказчикам. Участие в ransomware-атаках может служить не только источником дохода, но и способом маскировки шпионских операций.
Феномен участия китайских шпионских групп в ransomware-операциях продолжает развиваться. В феврале 2025 года Symantec и Carbon Black обнаружили доказательства того, что китайская шпионская группа работала аффилиатом с RA World ransomware. Однако Warlock представляет собой иной случай - здесь киберпреступность является не побочной деятельностью, а одним из основных направлений работы группы. Этот тренд требует повышенного внимания со стороны специалистов по безопасности и разработки новых подходов к защите от многовекторных угроз.
Индикаторы компрометации
