Die China-nahe Bedrohungsgruppe hinter dem Ransomware-Stamm Warlock dringt laut einem neuen Bericht des Symantec Threat Hunter Teams weiterhin über Schwachstellen in Microsoft SharePoint in Organisationen ein. Symantec, das die Gruppe unter dem Namen Longlegs (auch bekannt als Storm-2603) verfolgt, berichtet, dass in den vergangenen zwei Monaten mindestens vier Opfer in portugiesisch- und spanischsprachigen Ländern in Europa, Afrika und Lateinamerika kompromittiert wurden, darunter ein Wasserversorger, ein Telekommunikationsanbieter, eine Universität und eine Regionalregierung.
SharePoint bleibt der bevorzugte Einstiegspunkt
Die Kampagne baut auf den „ToolShell“-SharePoint-Schwachstellen auf, die Warlock 2025 bekannt gemacht haben. Laut den Symantec-Forschern greift das aktuelle Toolkit der Gruppe zudem auf neuere SharePoint-Schwachstellen zurück, darunter CVE-2026-32201 und CVE-2026-45659, was darauf hindeutet, dass die Betreiber zwischen mehreren ungepatchten Schwachstellen wechseln, statt sich auf eine einzelne Exploit-Kette zu verlassen. Die erste beobachtete Aktivität der jüngsten Welle geht auf eine Webshell zurück, die im Juli auf dem SharePoint-Server eines Opfers platziert wurde.
Warum kritische Infrastruktur weiterhin betroffen ist
Wasserversorger und Telekommunikationsanbieter bleiben für Ransomware-Akteure attraktive Ziele, da SharePoint-Implementierungen in diesen Organisationen häufig öffentlich erreichbar und nur langsam gepatcht sind – ein Muster, das die Daten von Symantec weiterhin bestätigen. Die Kampagne erinnert daran, dass Programme im Bereich Cyber-physische Sicherheit für Versorgungsunternehmen und regionale Regierungsnetzwerke eine kontinuierliche Überprüfung der SharePoint-Patches erfordern – nicht nur eine einmalige Reaktion, wenn eine namentlich genannte Schwachstelle Schlagzeilen macht.
Schreibe einen Kommentar