Подозреваемый злоумышленник, связанный с Китаем и известный под названием «Warlock», по-прежнему использует уязвимости Microsoft SharePoint — как старые, так и новые — в атаках, направленных против организаций в португало- и испаноязычных странах.
Эта активность, зафиксированная командой Symantec и Carbon Black Threat Hunter Team, затронула объекты критической инфраструктуры, государственные учреждения и образовательные организации.
«За последние два месяца Longlegs атаковал как минимум четыре организации, в том числе двух операторов критически важной инфраструктуры (предприятие водоснабжения и телекоммуникационного провайдера), региональный правительственный орган и университет», — сообщило подразделение по кибербезопасности, принадлежащее компании Broadcom. «Жертвы находились в португало- и испаноязычных странах, расположенных в Европе, Африке и Латинской Америке».
Группировка Warlock, также известная под названиями Gold Salem, Longlegs и Storm-2603, привлекла к себе внимание в середине 2025 года в связи с использованием уязвимостей «ToolShell» в SharePoint с помощью эксплойтов «нулевого дня» для установки программ-вымогателей на целевые системы.
В начале этого года группа была связана с взломом компании SmarterTools путем использования незапатченного экземпляра SmarterMail. Кроме того, она использовала легитимные инструменты, такие как Velociraptor, для управления и контроля (C2), а также технику «принеси свой собственный уязвимый драйвер» (BYOVD) для отключения программ обеспечения безопасности, работающих на скомпрометированном хосте.
По данным Symantec, деятельность Warlock частично пересекается с более старыми кластерами активности, известными как CL-CRI-1040, CamoFei и ChamelGang.