Warlock fidye yazılımı türünün arkasındaki Çin bağlantılı tehdit grubu, yeni bir Symantec Threat Hunter Team raporuna göre Microsoft SharePoint güvenlik açıkları üzerinden kuruluşlara sızmaya devam ediyor. Grubu Longlegs (Storm-2603 olarak da bilinir) adıyla izleyen Symantec, geçtiğimiz iki ay içinde Avrupa, Afrika ve Latin Amerika’daki Portekizce ve İspanyolca konuşulan ülkelerde en az dört kurbanın ele geçirildiğini; bunlar arasında bir su işletmesi, bir telekomünikasyon sağlayıcısı, bir üniversite ve bir bölgesel devlet kurumunun bulunduğunu belirtiyor.
SharePoint tercih edilen giriş noktası olmaya devam ediyor
Kampanya, Warlock’u 2025 yılında öne çıkaran “ToolShell” SharePoint açıklarının üzerine inşa ediliyor. Symantec araştırmacıları, grubun güncel araç setinin CVE-2026-32201 ve CVE-2026-45659 dahil olmak üzere daha yeni SharePoint güvenlik açıklarından da yararlandığını belirterek, operatörlerin tek bir istismar zincirine bağlı kalmak yerine yamalanmamış açıklar arasında geçiş yaptığını öne sürüyor. Son dalgada gözlemlenen ilk etkinlik, Temmuz ayında bir kurbanın SharePoint sunucusuna yerleştirilen bir web kabuğuna kadar uzanıyor.
Kritik altyapı neden hedef olmaya devam ediyor
Su işletmeleri ve telekomünikasyon sağlayıcıları, bu kuruluşlar içindeki SharePoint dağıtımlarının sıklıkla internete açık ve yama konusunda yavaş kalması nedeniyle fidye yazılımı operatörleri için cazip hedefler olmaya devam ediyor; Symantec’in verileri bu örüntüyü doğrulamaya devam ediyor. Bu kampanya, kamu hizmetlerini ve bölgesel devlet ağlarını kapsayan siber-fiziksel güvenlik programlarının, yalnızca adı duyurulan bir güvenlik açığı manşetlere çıktığında devreye giren tek seferlik bir tepki yerine sürekli SharePoint yama doğrulaması gerektirdiğinin bir hatırlatıcısı.
Bir yanıt yazın