Part01
Warlock持续利用SharePoint漏洞
疑似与中国有关联的威胁组织Warlock仍在持续利用微软SharePoint的新旧漏洞发起攻击，目标是葡萄牙语、西班牙语国家的各类机构。
赛门铁克与Carbon Black威胁狩猎团队观测到，相关攻击已波及关键基础设施、政府及教育领域机构。
博通旗下的网安部门表示：“过去两个月内，Longlegs已攻击至少4家机构，包括两家关键基础设施运营方（一家水务机构、一家电信服务商）、一个地方政府部门以及一所大学。受害机构分布在欧洲、非洲、拉丁美洲的葡萄牙语、西班牙语国家。”
Warlock的别名包括Gold Salem、Longlegs、Storm-2603。该组织2025年年中因利用SharePoint“ToolShell”0Day漏洞在目标系统部署勒索软件而受到广泛关注。
今年早些时候，研究人员发现该组织曾利用未打补丁的SmarterMail实例入侵SmarterTools。该组织还会借助Velociraptor等合法工具搭建C2通道，利用BYOVD技术禁用被控主机上运行的安全软件。
赛门铁克指出，Warlock的攻击特征与此前已知的CL-CRI-1040、CamoFei、ChamelGang攻击活动存在重合。
Part02
攻击者运用多种规避战术
研究人员表示：“在一次针对关键基础设施运营方的入侵中，攻击者在约两小时内向至少40台主机推送了一款专门用于禁用安全软件的工具，随后将Warlock勒索软件暂存在域的SYSVOL共享目录中，利用常规域复制机制分发到设备上，最终在至少33台主机上完成部署。”
Warlock发起的攻击利用了本地部署版微软SharePoint Server中的多个漏洞。攻击者成功入侵后，会植入可适配多个SharePoint版本的WebShell。
这类WebShell的最终目的是收集SharePoint场的ASP.NET机器密钥，再利用密钥伪造签名有效的载荷，在SharePoint应用程序池内实现远程代码执行。
研究人员还观测到攻击者使用了以下战术：
利用DLL侧加载技术将恶意代码加载到内存中
从catbox[.]moe、wasabisys[.]com等合法云文件共享与存储服务下载后续载荷，躲避安全检测
在BYOVD攻击中滥用存在漏洞的合法驱动K7RKScan.sys（CVE-2025-1055）禁用安全软件。此前DragonForce勒索软件攻击者也曾利用过该驱动
使用LotL工具在被控主机上开展侦察、执行命令，包括滥用微软Visual Studio Code的内置隧道功能，建立与受感染系统的远程连接
将载荷暂存在被控域的SYSVOL共享目录中，实现勒索软件的大规模部署
Part02
近期攻击活动仍在持续
研究人员观测到，就在2026年7月22日，该组织仍在利用SharePoint Server漏洞植入WebShell。
攻击者完成入侵后先开展侦察，在SharePoint应用程序池内实现任意代码执行。随后攻击者部署额外载荷，逐步深入渗透内网。
为维持长期访问，攻击者会建立VS Code隧道，同时终止被控主机上的安全软件运行。完成所有前置操作后，攻击者最终投放勒索软件程序。
赛门铁克与Carbon Black表示：“Warlock勒索软件首次进入公众视野已超过一年，Longlegs仍在持续开展活动。这说明对于未打补丁或未采取缓解措施的SharePoint部署环境而言，利用ToolShell及其他SharePoint相关漏洞仍是攻击者有效的初始访问路径。近期攻击者明显将重点放在葡萄牙语、西班牙语国家，这背后有两种可能：一是攻击者采取机会主义目标选择模式，专门针对暴露在公网、存在漏洞的SharePoint服务器下手；二是攻击者接到了明确的定向攻击任务。”
参考来源：
Warlock Exploits SharePoint Flaws to Disable Security Tools and Deploy Ransomware
https://thehackernews.com/2026/10/warlock-exploits-sharepoint-flaws-to.html