El grupo de ransomware Warlock, vinculado a China, atacó a una empresa de suministro de agua, un proveedor de telecomunicaciones, un organismo gubernamental regional y una universidad, aprovechando vulnerabilidades de SharePoint para obtener acceso inicial.
Durante los últimos dos meses, este grupo de ciberdelincuentes parece haberse centrado en países de Europa, África y Latinoamérica donde se habla portugués y español.
El grupo surgió en junio de 2025 y alcanzó notoriedad un mes después tras explotar una serie de vulnerabilidades de día cero en Microsoft SharePoint conocidas como ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771).
En agosto, Microsoft detectó que los grupos de hackers Linen Typhoon y Violet Typhoon, respaldados por estados, utilizaban exploits de ToolShell en sus ataques, junto con un grupo de ransomware identificado como Storm-2603. Desactivan un programa anti-EDR en 40 hosts
La empresa de ciberseguridad Symantec identifica al mismo actor como Longlegs y le atribuye el desarrollo del ransomware Warlock.
Según los investigadores, en una intrusión que comenzó el 22 de julio, el atacante desplegó una herramienta que deshabilitó el software de protección en "al menos 40 hosts en aproximadamente dos horas". Posteriormente, lanzó el ransomware Warlock en al menos 33 hosts.
Tras obtener acceso, generalmente explotando vulnerabilidades en implementaciones locales de SharePoint, el atacante instala un shell web diseñado para funcionar en múltiples versiones de SharePoint.
Los investigadores de Symantec y Carbon Black afirman que, en algunos ataques atribuidos a Longlegs, se desplegó una herramienta para desactivar antivirus/EDR mediante la técnica de "traiga su propio controlador vulnerable" (BYOVD), utilizando un controlador K7RKScan firmado y vulnerable a CVE-2025-1055.
El análisis de la intrusión del 22 de julio reveló que, dos días después de obtener el acceso inicial, el atacante llevó a cabo actividades de reconocimiento y eliminó lo que parecían ser elementos de preparación para la intrusión.
PortSwigger ha lanzado oficialmente Burp AT en beta pública, integrando por primera vez capacidades de IA con agentes directamente en Burp Suite Professional. E...
Leer artículo →La Apache Software Foundation corrigió dos vulnerabilidades en Apache ActiveMQ. Una permitía a un usuario con pocos privilegios eludir los permisos de escritura...
Leer artículo →La banda de extorsionadores ShinyHunters se atribuyó la responsabilidad de la reciente filtración de datos de Ernst & Young, afirmando haber obtenido las cr...
Leer artículo →