El grupo de ciberdelincuentes Warlock, también conocido como Longlegs y Storm-2603, continúa explotando activamente vulnerabilidades en Microsoft SharePoint, tanto conocidas como de día cero, para deshabilitar herramientas de seguridad y desplegar ransomware. Los ataques se han enfocado en organizaciones de países de habla portuguesa y española, incluyendo América Latina, afectando infraestructura crítica (empresas de agua y telecomunicaciones), entidades gubernamentales y universidades, según reportes de Symantec y Carbon Black.
La mecánica del ataque comienza con la explotación de fallas en los servidores de Microsoft SharePoint, lo que permite a los atacantes desplegar web shells, pequeñas piezas de software malicioso que permiten el control remoto de un servidor web. Estos web shells se utilizan para recolectar claves de máquina de ASP.NET de la granja de SharePoint, permitiendo la creación de cargas útiles firmadas fraudulentamente para ejecutar código de forma remota dentro del application pool de SharePoint. El grupo ganó notoriedad en 2025 por la explotación de las vulnerabilidades “ToolShell” de día cero en SharePoint.
Una vez dentro, Warlock utiliza diversas técnicas avanzadas. Esto incluye la inyección de DLLs (DLL sideloading), una técnica donde un programa carga una librería maliciosa en lugar de una legítima. También descargan payloads adicionales desde servicios legítimos de almacenamiento en la nube, y abusan de controladores vulnerables mediante la técnica “Bring Your Own Vulnerable Driver” (BYOVD) para deshabilitar software de seguridad (como con K7RKScan.sys, CVE-2025-1055). Además, recurren a herramientas del sistema (living-off-the-land) para reconocimiento, establecen túneles remotos con funcionalidades como la de Microsoft Visual Studio Code y distribuyen el ransomware a gran escala utilizando la carpeta SYSVOL del dominio comprometido.
La persistencia de las actividades de Warlock, más de un año después de su primera aparición, subraya que las implementaciones de SharePoint sin parches o mitigaciones siguen siendo un vector de acceso inicial muy efectivo. Es fundamental que las organizaciones apliquen proactivamente los parches de seguridad para las vulnerabilidades de SharePoint conocidas y emergentes. Adicionalmente, la implementación de una estrategia de seguridad en profundidad puede ayudar a mitigar el impacto, incluso si se logra el acceso inicial.
Qué significa para tu empresa: La explotación de plataformas colaborativas como SharePoint es una táctica común para el acceso inicial. Contar con una seguridad gestionada por capas (protección de endpoints EDR/XDR, SOC con monitoreo 24/7) es crucial para detectar y mitigar estos ataques desde las fases tempranas, incluso si se logra la intrusión inicial, impidiendo la deshabilitación de herramientas de seguridad y el despliegue de ransomware.
Fuente original: The Hacker News — ver artículo →