Warlock Exploits SharePoint Flaws to Disable Security Tools and Deploy Ransomware

El grupo de ac­to­res de ame­na­zas vin­cu­la­do a China co­no­ci­do como War­lock sigue apro­ve­chan­do vul­ne­ra­bi­li­da­des en Mi­cro­soft Sha­re­Point, tanto an­ti­guas como nue­vas, para ata­car a en­ti­da­des en re­gio­nes de habla his­pa­na y por­tu­gue­sa. Las in­ves­ti­ga­cio­nes de los equi­pos de ci­ber­se­gu­ri­dad han de­tec­ta­do estas in­cur­sio­nes en sec­to­res como edu­ca­ción, ad­mi­nis­tra­cio­nes pú­bli­cas e in­fra­es­truc­tu­ra crí­ti­ca, abar­can­do di­fe­ren­tes con­ti­nen­tes.

Para lo­grar sus ob­je­ti­vos, los ata­can­tes em­plean la ins­ta­la­ción de web shells con el fin de re­co­pi­lar cla­ves de má­qui­nas y lo­grar la eje­cu­ción re­mo­ta de có­di­go en las apli­ca­cio­nes afec­ta­das. Asi­mis­mo, uti­li­zan di­ver­sas tác­ti­cas que in­clu­yen el se­cues­tro de DLL, la des­car­ga de ar­chi­vos desde pla­ta­for­mas le­gí­ti­mas en la nube, el uso de he­rra­mien­tas na­ti­vas para re­co­no­ci­mien­to, co­ne­xio­nes re­mo­tas me­dian­te ca­rac­te­rís­ti­cas de Vi­sual Stu­dio Code y el apro­ve­cha­mien­to de un con­tro­la­dor vul­ne­ra­ble para des­ac­ti­var las de­fen­sas de se­gu­ri­dad.

Fi­nal­men­te, el grupo co­lo­ca sus car­gas ma­li­cio­sas en re­cur­sos com­par­ti­dos del do­mi­nio para dis­tri­buir el ran­som­wa­re a gran es­ca­la en los equi­pos com­pro­me­ti­dos. Las or­ga­ni­za­cio­nes afec­ta­das co­rres­pon­den a paí­ses de habla his­pa­na y por­tu­gue­sa, evi­den­cian­do que las fa­llas en Sha­re­Point no co­rre­gi­das con­ti­núan sir­vien­do como vía de ac­ce­so ini­cial.