گروه تهدید احتمالی مرتبط با چین که با نام Warlock شناخته می‌شود، همچنان در حال استفاده از آسیب‌پذیری‌های Microsoft SharePoint (چه قدیمی و چه جدید) برای حمله به سازمان‌ها در کشورهای اسپانیایی‌زبان و پرتغالی‌زبان است.
هدف قرار دادن زیرساخت‌های حیاتی
طبق گزارش تیم‌های شکار تهدید Symantec و Carbon Black، این فعالیت‌ها سازمان‌های آموزشی، دولتی و اپراتورهای زیرساخت‌های حیاتی را هدف قرار داده است. در دو ماه اخیر، این عامل تهدید (که با نام‌های Longlegs و Storm-2603 نیز شناخته می‌شود) به حداقل چهار سازمان، از جمله یک شرکت تامین آب، یک ارائه‌دهنده خدمات مخابراتی، یک نهاد دولتی منطقه‌ای و یک دانشگاه در اروپا، آفریقا و آمریکای لاتین حمله کرده است.
تکنیک‌های نفوذ و گسترش
گروه Warlock در اواسط سال ۲۰۲۵ با بهره‌برداری از آسیب‌پذیری‌های زیرو دِی در SharePoint (تحت عنوان ToolShell) برای استقرار باج‌افزارها به شهرت رسید. این گروه از روش‌های زیر برای پیشبرد عملیات خود استفاده می‌کند:
- استفاده از ابزارهای قانونی: بهره‌گیری از ابزار Velociraptor برای مدیریت و کنترل (C2).
- تکنیک BYOVD: استفاده از روش Bring Your Own Vulnerable Driver برای غیرفعال کردن نرم‌افزارهای امنیتی در سیستم‌های مورد هدف.
- استقرار Web Shell: پس از نفوذ اولیه، مهاجمان Web Shellهایی را مستقر می‌کنند که نسخه‌های مختلف SharePoint را هدف قرار می‌دهند.
مسیر اجرای کد از راه دور (RCE)
هدف نهایی از استقرار Web Shell، جمع‌آوری کلیدهای ماشین ASP.NET در SharePoint Farm است. این کلیدها برای جعل یک Payload دارای امضای معتبر مورد استفاده قرار می‌گیرند تا در نهایت Remote Code Execution (RCE) در Application Pool نرم‌افزار SharePoint حاصل شود.
روند عملیاتی در حملات اخیر
در یکی از موارد نفوذ به یک اپراتور زیرساخت حیاتی، مهاجمان توانستند طی دو ساعت، ابزاری برای غیرفعال‌سازی نرم‌افزارهای امنیتی را روی ۴۰ میزبان (Host) منتقل کنند. سپس با استفاده از Shareهای SYSVOL در دامنه، باج‌افزار Warlock را روی ۳۳ سیستم مستقر کردند تا از طریق مکانیسم Replication دامنه، بدافزار به طور خودکار توزیع شود.
تحلیلگران هشدار می‌دهند که تداوم فعالیت‌های این گروه نشان می‌دهد بهره‌برداری از ToolShell و سایر آسیب‌پذیری‌های SharePoint همچنان یک مسیر دسترسی اولیه (Initial Access) موثر برای سیستم‌هایی است که به‌روزرسانی نشده‌اند یا اقدامات اصلاحی (Mitigation) در آن‌ها اعمال نشده است.
به‌روزرسانی (اکتبر 4, 2026 — Security Affairs)
به‌روزرسانی: تحلیل‌های جدید نشان می‌دهد عامل تهدید Longlegs (که با نام‌های Storm-2603 و خوشه‌های مرتبط با چین شناخته می‌شود)، همچنان از زنجیره آسیب‌پذیری‌های SharePoint (موسوم به ToolShell) برای نفوذ به زیرساخت‌های حیاتی استفاده می‌کند. این گروه اخیراً سازمان‌هایی از جمله شرکت‌های تامین آب، اپراتورهای مخابراتی، نهادهای دولتی و دانشگاه‌ها را در کشورهای اسپانیایی‌زبان و پرتغالی‌زبان در اروپا، آفریقا و آمریکای لاتین هدف قرار داده است.
در این حملات، مهاجمان برای غیرفعال‌سازی ابزارهای امنیتی از تکنیک BYOVD با استفاده از درایور آسیب‌پذیر اما دارای امضای دیجیتال K7RKScan بهره می‌برند. همچنین برای ایجاد دسترسی از راه دور (Remote Access) به گونه‌ای که با فعالیت‌های عادی توسعه‌دهندگان اشتباه گرفته شود، از قابلیت Tunneling در Visual Studio Code استفاده کرده‌اند.
بررسی خط زمانی یک حمله در جولای ۲۰۲۶ نشان می‌دهد که مهاجمان پس از استقرار Webshell، با سرقت کلیدهای ASP.NET machine keys و اجرای کدهای مخرب، دسترسی خود را گسترش داده‌اند. در نهایت، با ایجاد حساب‌های کاربری جعلی (مانند SPSEPRDSetup) و استفاده از اشتراک SYSVOL در دامین برای توزیع سریع باج‌افزار، توانسته‌اند در مدت کوتاهی ده‌ها سیستم را در زیرساخت‌های حیاتی رمزگذاری کنند.
