Warlock atakuje SharePoint i bezpieczeństwo firm

Warlock znów wykorzystuje SharePoint

Grupa śledzona jako Warlock nadal atakuje organizacje, wykorzystując luki w Microsoft SharePoint do uzyskania dostępu, wyłączenia narzędzi bezpieczeństwa i wdrożenia ransomware. Celem są przede wszystkim podmioty z krajów portugalsko- i hiszpańskojęzycznych, a wśród ofiar znalazły się m.in. organizacje z obszaru infrastruktury krytycznej, administracji publicznej i edukacji.

Zebrane informacje wskazują, że w ostatnich miesiącach ataki objęły co najmniej cztery organizacje, w tym operatora wodociągów, dostawcę usług telekomunikacyjnych, regionalny urząd oraz uczelnię.

Jak działa atak

Warlock, znany też jako Gold Salem, Longlegs i Storm-2603, od połowy 2025 roku pozostaje kojarzony z wykorzystywaniem podatności typu ToolShell w SharePoint. Wcześniej grupa była również łączona z kompromitacją SmarterTools poprzez niezabezpieczoną instancję SmarterMail.

W ostatnich kampaniach napastnicy:

• wykorzystują luki w lokalnych instalacjach SharePoint Server,
• wgrywają web shella do przejętego serwera,
• wyciągają klucze ASP.NET machine keys z farmy SharePoint,
• używają ich do generowania poprawnie podpisanych żądań i uzyskania remote code execution,
• wyłączają zabezpieczenia na przejętych hostach,
• rozprowadzają ransomware przez udział domenowy SYSVOL.

W jednym z opisanych incydentów atakujący dostarczyli narzędzie do wyłączania zabezpieczeń na co najmniej 40 hostów w około dwie godziny, a następnie uruchomili ransomware na co najmniej 33 z nich.

Techniki, które pomagają im ukryć się w sieci

Warlock korzysta z kilku znanych technik, które utrudniają wykrycie ataku:

• DLL sideloading do ładowania złośliwego kodu do pamięci,
• pobieranie kolejnych etapów z legalnych usług plikowych i storage, takich jak catbox[.]moe i wasabisys[.]com,
• nadużywanie sterownika K7RKScan.sys jako części ataku BYOVD (bring your own vulnerable driver) do wyłączania ochrony,
• używanie narzędzi typu living-off-the-land do rozpoznania środowiska i wykonywania poleceń,
• wykorzystywanie wbudowanej funkcji tuneli w Microsoft Visual Studio Code do zdalnego połączenia z zainfekowanymi systemami.

Wskazywany sterownik był wcześniej wykorzystywany także przez inne grupy ransomware, co pokazuje, że przestępcy chętnie sięgają po te same podatne komponenty, gdy mogą ich użyć przeciwko narzędziom obronnym.

Dlaczego to wciąż działa

Napastnicy potrafili jeszcze 22 lipca 2026 roku wykorzystać luki w SharePoint do:

• wgrania web shella,
• wykonania rekonesansu,
• uzyskania arbitralnego wykonania kodu w aplikacji SharePoint,
• wdrożenia dodatkowych narzędzi,
• zbudowania tuneli VS Code,
• zatrzymania oprogramowania ochronnego,
• finalnie uruchomienia ransomware.

To pokazuje, że niezałatane lub słabo zabezpieczone wdrożenia SharePoint nadal pozostają skutecznym wektorem wejścia dla atakujących. Problem dotyczy zarówno starych, jak i nowszych podatności, jeśli organizacja nie wdrożyła skutecznych mitigacji.

Szerszy obraz bezpieczeństwa w 2026 roku

Drugi z analizowanych materiałów pokazuje, że w 2026 roku bezpieczeństwo firm coraz mocniej przesuwa się w stronę ciągłej kontroli tożsamości, telemetrii, endpointów, chmury i ryzyka ludzkiego. W praktyce oznacza to kilka ważnych trendów:

• Identity Security staje się kluczową warstwą ochrony, bo tożsamości ludzkie i nieludzkie mają coraz większy dostęp do systemów,
• zespoły bezpieczeństwa chcą nie tylko zbierać dane, ale też umieć je szybko przetwarzać i ponownie wykorzystywać,
• zarządzanie endpointami coraz bardziej opiera się na automatycznym łagodzeniu zagrożeń i patchingu,
• rośnie znaczenie human risk intelligence, czyli rozumienia ryzyka związanego z ludźmi, nie tylko z infrastrukturą,
• ataki phishingowe i impersonacja są coraz skuteczniejsze dzięki AI,
• bezpieczeństwo poczty, domen i DNS staje się elementem ochrony całej obecności organizacji w internecie,
• w SOC coraz większą rolę odgrywa AI, ale nadal ma ona wspierać ludzi, a nie ich zastępować,
• chmura pozostaje atrakcyjnym celem dla ataków opartych na przejętych tożsamościach i błędach konfiguracji.

Wnioski dla administratorów

Sprawa Warlocka przypomina, że samo wdrożenie narzędzi ochronnych nie wystarczy, jeśli podstawowe systemy pozostają podatne. Szczególnie ważne są:

• szybkie łatanie publicznie dostępnych usług,
• ograniczanie uprawnień i zasada least privilege,
• monitorowanie działań w SharePoint i ruchu bocznego w sieci,
• blokowanie uruchamiania podatnych sterowników,
• kontrola narzędzi zdalnego dostępu i tunelowania,
• wykrywanie prób wyłączania zabezpieczeń zanim dojdzie do szyfrowania danych.

W 2026 roku obrona przed ransomware wymaga już nie tylko reagowania na incydenty, ale ciągłego zarządzania ekspozycją, tożsamością i stanem całego środowiska.