El grupo de ransomware Warlock, vinculado a China, atacó a una empresa de suministro de agua, un proveedor de telecomunicaciones, un organismo gubernamental regional y una universidad, aprovechando vulnerabilidades de SharePoint para obtener acceso inicial.
Durante los últimos dos meses, este grupo de ciberdelincuentes parece haberse centrado en países de Europa, África y Latinoamérica donde se habla portugués y español.
El grupo surgió en junio de 2025 y alcanzó notoriedad un mes después tras explotar una serie de vulnerabilidades de día cero en Microsoft SharePoint conocidas como ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771).
En agosto, Microsoft detectó que los grupos de hackers Linen Typhoon y Violet Typhoon, respaldados por estados, utilizaban exploits de ToolShell en sus ataques, junto con un grupo de ransomware identificado como Storm-2603. Desactivan un programa anti-EDR en 40 hosts
La empresa de ciberseguridad Symantec identifica al mismo actor como Longlegs y le atribuye el desarrollo del ransomware Warlock.
Según los investigadores, en una intrusión que comenzó el 22 de julio, el atacante desplegó una herramienta que deshabilitó el software de protección en "al menos 40 hosts en aproximadamente dos horas". Posteriormente, lanzó el ransomware Warlock en al menos 33 hosts.
Tras obtener acceso, generalmente explotando vulnerabilidades en implementaciones locales de SharePoint, el atacante instala un shell web diseñado para funcionar en múltiples versiones de SharePoint.
Los investigadores de Symantec y Carbon Black afirman que, en algunos ataques atribuidos a Longlegs, se desplegó una herramienta para desactivar antivirus/EDR mediante la técnica de "traiga su propio controlador vulnerable" (BYOVD), utilizando un controlador K7RKScan firmado y vulnerable a CVE-2025-1055.
El análisis de la intrusión del 22 de julio reveló que, dos días después de obtener el acceso inicial, el atacante llevó a cabo actividades de reconocimiento y eliminó lo que parecían ser elementos de preparación para la intrusión.
Microsoft ha confirmado que los usuarios sin privilegios de administrador podrían no poder conectarse a dispositivos mediante Escritorio remoto tras instalar la...
Leer artículo →Microsoft ha corregido una vulnerabilidad de día cero en Windows Shell que se explotaba activamente y que permitía a los atacantes eludir las protecciones de la...
Leer artículo →Microsoft batió el martes su propio récord de actualizaciones (Patch Tuesday) al publicar parches para la impresionante cifra de 1413 vulnerabilidades, incluyen...
Leer artículo →