Qué es

Warlock es un ransomware desplegado por el grupo de amenazas con nexos con China conocido como Longlegs. La evidencia indica que se distribuye explotando vulnerabilidades de Microsoft SharePoint, específicamente la cadena ToolShell, para cifrar archivos en organizaciones de agua, telecomunicaciones y gobierno.

Cómo llega

Entra explotando vulnerabilidades de Microsoft SharePoint, específicamente la cadena ToolShell. La evidencia no detalla señuelos específicos ni vincula textualmente los identificadores CVE listados en la base con la campaña de Warlock, por lo que se omite esa referencia para mantener la precisión.

Qué hace una vez dentro

Cifra archivos en los sistemas comprometidos. Antes del cifrado, despliega un framework de webshell sin archivo con módulos para reconocimiento, escalada de privilegios mediante impersonación de tokens y persistencia. También intenta eliminar soluciones EDR usando controladores vulnerables y establece mecanismos de túnel para la ejecución de comandos.

A quién ataca

Apunta a organizaciones de servicios públicos de agua, proveedores de telecomunicaciones, entidades gubernamentales y universidades. Las víctimas se ubican en países de habla portuguesa y española, abarcando regiones de Europa, África y América Latina.

Técnicas de MITRE ATT&CK

Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.

Grupos que la usan

Longlegs

Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Vulnerabilidades asociadas

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: Warlock Ransomware Attackers Hit Water and Telecom Operators
• AlienVault OTX: How to detect fileless attacks exploiting ToolShell: analyzing the Storm-2603 incident