گروه باج‌افزار Warlock که پیوندهایی با چین دارد، با بهره‌برداری از آسیب‌پذیری‌های نرم‌افزار SharePoint، موفق به نفوذ به سازمان‌های متعددی از جمله یک شرکت خدمات آب، یک اپراتور مخابراتی، یک نهاد دولتی منطقه‌ای و یک دانشگاه شده است.
جزئیات فنی و زنجیره حمله
این عامل تهدید (Threat Actor) از ژوئن ۲۰۲۵ فعال شده و شهرت خود را از طریق بهره‌برداری از زنجیره‌ای از آسیب‌پذیری‌های زیرو دِی در Microsoft SharePoint به نام ToolShell به دست آورده است. این آسیب‌پذیری‌ها شامل موارد زیر هستند:
- CVE-2025-49704
- CVE-2025-49706
- CVE-2025-53770
- CVE-2025-53771
طبق گزارش مایکروسافت، گروه‌های هک دولتی مانند Linen Typhoon و Violet Typhoon و همچنین عامل تهدیدی موسوم به Storm-2603 از اکسپلویت‌های ToolShell در حملات خود استفاده کرده‌اند. شرکت Symantec این عامل را با نام Longlegs شناسایی کرده و توسعه باج‌افزار Warlock را به این گروه نسبت می‌دهد.
تکنیک‌های پیشرفته برای دور زدن دفاعات
در یکی از موارد نفوذ، مهاجم با استفاده از ابزاری تخصصی توانست نرم‌افزارهای امنیتی را در حداقل ۴۰ میزبان (Host) تنها در عرض دو ساعت غیرفعال کند و سپس باج‌افزار Warlock را روی ۳۳ میزبان اجرا نماید. برای این منظور، مهاجمان از تکنیک BYOVD (آوردن درایور آسیب‌پذیر) با استفاده از درایور امضا شده K7RKScan (مربوط به CVE-2025-1055) جهت غیرفعال کردن AV/EDR استفاده کردند.
پایدارسازی و گسترش در شبکه
پس از دسترسی اولیه از طریق SharePoint، مهاجم یک Web Shell را برای کنترل سیستم‌ها استقرار می‌دهد. تحلیل‌ها نشان می‌دهد که Payload باج‌افزار در Share مربوط به SYSVOL دامنه قرار داده شده است؛ روشی که اجازه می‌دهد بدافزار از طریق Logon Script یا Group Policy Object (GPO) به صورت یک‌باره در کل شبکه پخش شود.
همچنین، مهاجمان برای برقراری ارتباط از راه دور با ماشین‌های سازباری، فایل اجرایی Visual Studio Code Insiders را به عنوان یک سرویس نصب کرده‌اند تا از قابلیت Tunneling داخلی این نرم‌افزار استفاده کنند. علاوه بر این، استفاده از فریم‌ورک متن‌باز NetExec برای شناسایی Active Directory، حملات Credential Spraying و اجرای دستورات از راه دور (RCE) مشاهده شده است.
به‌روزرسانی (اکتبر 2, 2026 — therecord.media)
به‌روزرسانی: گزارش‌های جدید تیم Symantec Threat Hunter نشان می‌دهد که حملات باج‌افزار Warlock اکنون به سازمان‌های زیرساختی در کشورهای اسپانیایی و پرتغالی‌زبان در اروپا، آفریقا و آمریکای لاتین گسترش یافته است. قربانیان این موج جدید شامل یک دانشگاه، یک دولت منطقه‌ای و تامین‌کنندگان خدمات آب و مخابرات هستند.
تحلیل‌ها حاکی از آن است که این عملیات توسط یک گروه چینی هدایت می‌شود. این عامل تهدید (Threat Actor) از مجموعه‌ای از آسیب‌پذیری‌های Microsoft SharePoint که به ToolShell معروف هستند، برای نفوذ به شبکه‌ها استفاده می‌کند. همچنین گزارش شده است که مهاجمان از آسیب‌پذیری‌های جدیدتر سال ۲۰۲۵ و ۲۰۲۶ که اخیراً توسط دولت ایالات متحده شناسایی شده‌اند، برای هدف قرار دادن سرورهای به‌روزرسانی‌نشده بهره می‌برند.
در برخی از موارد، این گروه برای خنثی‌سازی نرم‌افزارهای امنیتی در ده‌ها میزبان (Host) پیش از استقرار باج‌افزار، از ابزارهای تخصصی برای غیرفعال‌سازی EDR استفاده کرده‌اند. این حملات نشان‌دهنده تداوم بهره‌برداری از محیط‌های SharePoint به دلیل یکپارچگی عمیق این سرویس با سیستم‌های احراز هویت مایکروسافت است که امکان نفوذ عمیق‌تر در شبکه قربانی را فراهم می‌کند.
