El grupo de amenazas vinculado a China detrás de la variante de ransomware Warlock continúa irrumpiendo en organizaciones a través de vulnerabilidades de Microsoft SharePoint, según un nuevo informe del Symantec Threat Hunter Team. Symantec, que rastrea al grupo como Longlegs (también conocido como Storm-2603), señala que al menos cuatro víctimas en países de habla portuguesa y española de Europa, África y América Latina fueron comprometidas en los últimos dos meses, entre ellas una empresa de agua, un proveedor de telecomunicaciones, una universidad y un gobierno regional.
SharePoint sigue siendo el punto de entrada preferido
La campaña se apoya en las fallas de SharePoint conocidas como «ToolShell» que dieron notoriedad a Warlock en 2025. Los investigadores de Symantec afirman que el conjunto de herramientas actual del grupo también recurre a vulnerabilidades más recientes de SharePoint, entre ellas CVE-2026-32201 y CVE-2026-45659, lo que sugiere que los operadores van alternando entre fallas sin parchear en lugar de depender de una sola cadena de explotación. La primera actividad observada en esta última oleada se remonta a un webshell instalado en el servidor SharePoint de una víctima en julio.
Por qué la infraestructura crítica sigue siendo blanco de ataques
Las empresas de agua y los proveedores de telecomunicaciones siguen siendo objetivos atractivos para los operadores de ransomware porque las implementaciones de SharePoint dentro de estas organizaciones suelen estar expuestas a internet y tardan en parchearse, un patrón que los datos de Symantec siguen confirmando. La campaña recuerda que los programas de seguridad ciberfísica que cubren servicios públicos y redes gubernamentales regionales necesitan una verificación continua de parches de SharePoint, no una respuesta puntual activada solo cuando una vulnerabilidad con nombre propio llega a los titulares.
Deja una respuesta