Një grup kërcënimi i dyshuar si i lidhur me Kinën, i njohur si Warlock, po vazhdon të shfrytëzojë dobësi sigurie në Microsoft SharePoint për të depërtuar në rrjetet e organizatave, për të çaktivizuar sistemet e mbrojtjes dhe, në fazën përfundimtare, për të shpërndarë ransomware.
Grupi njihet gjithashtu me emrat Gold Salem, Longlegs dhe Storm-2603.
Sipas hulumtimeve nga ekipet e Symantec dhe Carbon Black Threat Hunter, aktiviteti i fundit ka prekur organizata të infrastrukturës kritike, institucione qeveritare dhe sektorin e arsimit.
Të paktën katër organizata të sulmuara
Gjatë dy muajve të fundit, grupi Longlegs/Warlock ka sulmuar të paktën katër organizata.
Mes objektivave ndodheshin:
- një kompani e furnizimit me ujë;
- një operator telekomunikacioni;
- një institucion qeveritar rajonal;
- një universitet.
Viktimat ndodheshin kryesisht në vende portugalisht- dhe spanjishtfolëse në Evropë, Afrikë dhe Amerikën Latine.
Dy prej viktimave ishin operatorë të infrastrukturës kritike, duke e bërë aktivitetin veçanërisht shqetësues.
Kush është Warlock?
Warlock u bë më i njohur gjatë vitit 2025, kur u lidh me shfrytëzimin e dobësive zero-day të Microsoft SharePoint të njohura si ToolShell.
Këto dobësi u përdorën për të komprometuar serverë SharePoint dhe për të shpërndarë ransomware në sistemet e organizatave të synuara.
Grupi është lidhur gjithashtu me komprometimin e SmarterTools përmes një instance të papërditësuar të SmarterMail.
Në operacionet e tij janë përdorur edhe mjete legjitime, përfshirë Velociraptor, për komunikim Command-and-Control (C2).
Një teknikë tjetër e përdorur është:
BYOVD – Bring Your Own Vulnerable Driver
Kjo teknikë konsiston në përdorimin e një driver-i legjitim, por vulnerabël, për të fituar aftësi në nivel kernel dhe për të ndërhyrë te programet e sigurisë.
Çaktivizimi i sigurisë në dhjetëra pajisje
Në një nga sulmet kundër një operatori të infrastrukturës kritike, sulmuesit shpërndanë një mjet për çaktivizimin e software-ve të sigurisë në të paktën 40 pajisje brenda rreth dy orësh.
Më pas, ransomware Warlock u vendos në të paktën 33 pajisje.
Për shpërndarjen e malware-it, sulmuesit përdorën SYSVOL share të domain-it.
SYSVOL është një komponent i rëndësishëm në mjediset Windows Active Directory. Duke vendosur payload-in në këtë zonë, sulmuesit mund të përfitonin nga mekanizmat normalë të replikimit të domain-it për ta shpërndarë atë në sisteme të tjera.
Microsoft SharePoint si pikë hyrëse
Sulmet e Warlock kanë shfrytëzuar disa dobësi në instalimet on-premises të Microsoft SharePoint Server.
Pas komprometimit fillestar të serverit, sulmuesit instalonin web shell.
Web shell-i u jepte mundësi të vazhdonin kontrollin e serverit dhe të kryenin veprime të tjera brenda mjedisit të komprometuar.
Një nga objektivat ishte marrja e ASP.NET machine keys të SharePoint farm.
Këto çelësa mund të abuzohen për krijimin e payload-eve që duken sikur janë nënshkruar në mënyrë legjitime.
Kjo mund t’i lejojë sulmuesit të arrijnë Remote Code Execution (RCE) brenda SharePoint Application Pool.
Në praktikë, RCE do të thotë se një sulmues mund të ekzekutojë kod në server nga distanca, duke i dhënë atij mundësi të konsiderueshme për komprometimin e mëtejshëm të sistemit.
Teknikat e përdorura nga Warlock
Studiuesit kanë identifikuar disa teknika të rëndësishme gjatë sulmeve.
1. DLL Sideloading
Sulmuesit përdorin DLL sideloading për të ngarkuar kod keqdashës në memorien e sistemit.
Kjo teknikë mund të abuzojë me mënyrën se si aplikacionet legjitime kërkojnë dhe ngarkojnë DLL-të.
2. Shërbime legjitime cloud
Payload-e shtesë janë shkarkuar përmes shërbimeve legjitime të ruajtjes dhe shpërndarjes së skedarëve në cloud.
Përdorimi i shërbimeve legjitime mund ta bëjë trafikun keqdashës më të vështirë për t’u dalluar nga trafiku normal i organizatës.
3. BYOVD
Sulmuesit kanë abuzuar me driver-in vulnerabël:
K7RKScan.sys
Dobësia lidhet me:
CVE-2025-1055
Driver-i përdoret në një sulm Bring Your Own Vulnerable Driver (BYOVD) për të ndërhyrë te software-t e sigurisë që funksionojnë në pajisjen e komprometuar.
I njëjti driver është lidhur më parë edhe me sulme të operatorëve të ransomware-it DragonForce.
4. Living-off-the-Land
Warlock përdor gjithashtu teknika Living-off-the-Land (LotL).
Në vend që sulmuesi të instalojë gjithmonë mjete të reja keqdashëse, ai përpiqet të përdorë programe dhe funksione që ekzistojnë tashmë në sistem.
Kjo mund ta bëjë zbulimin e aktivitetit keqdashës më të vështirë.
5. Visual Studio Code Tunnels
Një teknikë veçanërisht interesante është keqpërdorimi i funksionalitetit VS Code Tunnel të Microsoft Visual Studio Code.
Sulmuesit mund ta përdorin këtë funksionalitet legjitim për të krijuar lidhje në distancë me sistemet e komprometuara.
Kjo u jep atyre një kanal shtesë për kontrollin e pajisjeve të infektuara.
6. SYSVOL për shpërndarjen e ransomware
Payload-et vendosen gjithashtu në SYSVOL share të domain-it të komprometuar.
Kjo mund të përdoret për të ndihmuar shpërndarjen e ransomware-it në shkallë më të gjerë brenda mjedisit Windows/Active Directory.
Zinxhiri i sulmit
Në një aktivitet të raportuar më 22 korrik 2026, sulmuesit shfrytëzuan dobësitë e SharePoint Server për të krijuar një zinxhir sulmi me disa faza.
Në mënyrë të përmbledhur:
SharePoint Vulnerability → Web Shell → Reconnaissance → Remote Code Execution → Additional Payloads → Lateral Movement → VS Code Tunnels → Security Software Disabled → Warlock Ransomware
Fillimisht komprometohet serveri SharePoint.
Më pas vendoset web shell-i dhe kryhet zbulimi i infrastrukturës së viktimës.
Sulmuesit arrijnë ekzekutimin e kodit brenda SharePoint Application Pool dhe shkarkojnë payload-e shtesë.
Pas kësaj, ata përpiqen të depërtojnë më thellë në rrjet, krijojnë VS Code tunnels, ndërpresin funksionimin e software-ve të sigurisë dhe në fund shpërndajnë ransomware-in Warlock.
Pse serverët SharePoint vazhdojnë të jenë objektiv?
Aktiviteti i Warlock tregon se dobësitë e ToolShell dhe dobësi të tjera të lidhura me Microsoft SharePoint vazhdojnë të jenë një mënyrë efektive hyrjeje për sulmuesit.
Rreziku është veçanërisht i madh për organizatat që përdorin SharePoint Server on-premises dhe nuk kanë instaluar patch-et ose masat e rekomanduara të sigurisë.
Fokusi i fundit ndaj vendeve portugalisht- dhe spanjishtfolëse mund të lidhet me serverë SharePoint të ekspozuar dhe vulnerabël në këto rajone ose me një përzgjedhje më të qëllimshme të objektivave.
Çfarë duhet të bëjnë administratorët?
Organizatat që përdorin Microsoft SharePoint Server on-premises duhet të kenë prioritet përditësimin dhe monitorimin e këtyre serverëve.
Veçanërisht duhet:
- të instalohen përditësimet më të fundit të sigurisë për SharePoint;
- të kontrollohen serverët për web shell-e ose skedarë të dyshimtë;
- të monitorohen ASP.NET machine keys;
- të kontrollohen aktivitetet e pazakonta në SYSVOL;
- të monitorohen driver-at e ngarkuar në kernel;
- të kërkohen shenja të teknikave BYOVD;
- të monitorohet përdorimi i pazakontë i VS Code Tunnels;
- të kontrollohen sistemet EDR/antivirus për ndalime ose çaktivizime të papritura;
- të kufizohet ekspozimi direkt i SharePoint Server në internet kur nuk është i nevojshëm.
Rasti Warlock tregon gjithashtu se vetëm instalimi i antivirusit nuk është i mjaftueshëm. Sulmuesit modernë përdorin kombinime dobësish, mjete legjitime dhe driver-a vulnerabël për të shmangur ose çaktivizuar mekanizmat tradicionalë të sigurisë.
