گزارش‌های جدید Symantec نشان می‌دهد که گروه باج‌افزاری Warlock همچنان بر روی سرورهای SharePoint تمرکز کرده تا به زیرساخت‌های حیاتی، نهادهای دولتی و مراکز آموزشی نفوذ کند. این گروه که احتمالاً توسط عامل تهدید چینی با نام‌های Longlegs و Storm-2603 اداره می‌شود، سابقه‌ای در عملیات‌های مخرب مانند CamoFei و ChamelGang دارد.
بهره‌برداری از آسیب‌پذیری‌های زیرو دِی (Zero-Day)
سال گذشته، گروه‌های Linen Typhoon و Violet Typhoon از دو آسیب‌پذیری در SharePoint تحت عنوان ToolShell به عنوان زیرو دِی استفاده کردند. در مدت کوتاهی، بیش از ۴۰۰ سرور SharePoint مورد نفوذ قرار گرفتند و فعالیت‌های Storm-2603 در این زمینه بسیار برجسته بود. تا اکتبر ۲۰۲۵، حملات متعددی توسط باج‌افزار Warlock شناسایی شد که قربانیان آن‌ها شامل یک شرکت مخابراتی در خاورمیانه، نهادهای دولتی در آفریقا و آمریکای جنوبی و یک دانشگاه در ایالات متحده بود.
تکنیک‌های نفوذ و گسترش در شبکه
عامل تهدید Storm-2603 علاوه بر ToolShell، از آسیب‌پذیری‌های جدیدی مانند CVE-2026-32201 و CVE-2026-58644 در زرادخانه خود استفاده می‌کند. روند حمله این گروه معمولاً به شرح زیر است:
- بهره‌برداری از باگ‌های SharePoint و استقرار Webshell.
- استخراج Machine Key مربوط به ASP.NET.
- اجرای Payloadهای امضا شده برای دستیابی به RCE (اجرای کد از راه دور).
- استفاده از تکنیک DLL Sideloading برای اجرای کد در حافظه (In-memory).
- به‌کارگیری ابزارهای Living-off-the-land برای شناسایی و اجرای دستورات.
روش‌های پیشرفته برای پنهان‌سازی و توزیع
این گروه برای ایجاد دسترسی از راه دور مخفی، از قابلیت Tunnel داخلی Visual Studio Code استفاده می‌کند تا ترافیک خود را با فعالیت‌های عادی توسعه‌دهندگان یا مدیران سیستم ادغام کند. همچنین، برای توزیع باج‌افزار در مقیاس گسترده، Payload را در Share مربوط به SYSVOL دامنه قرار می‌دهد تا به طور خودکار در تمامی Domain Controllerها تکثیر شده و برای تمام کاربران دامنه قابل خواندن باشد.
در یکی از حملات اخیر، این گروه ابزاری را برای غیرفعال کردن نرم‌افزارهای امنیتی در ۴۰ سیستم مستقر کرد و سپس باج‌افزار Warlock را روی ۳۳ سیستم اجرا نمود. قربانیان اخیر شامل اپراتورهای زیرساخت حیاتی (تأمین آب و مخابرات) در کشورهای اسپانیایی و پرتغالی‌زبان بوده‌اند.
