Un actor de amenazas vinculado a China continúa explotando vulnerabilidades de Microsoft SharePoint Server para desplegar el ransomware Warlock, con ataques recientes dirigidos a organizaciones de servicios esenciales y del sector público en países de habla portuguesa y española.

Symantec rastrea al operador como Longlegs, mientras que Microsoft utiliza Storm-2603; actividades anteriores también se han vinculado con CL-CRI-1040, CamoFei y ChamelGang.

Durante los últimos dos meses, la campaña comprometió al menos cuatro organizaciones: una empresa de suministro de agua, un proveedor de telecomunicaciones, un organismo gubernamental regional y una universidad, abarcando Europa, África y América Latina.

Ransomware Warlock explotando fallos de SharePoint

Warlock apareció en junio de 2025 y rápidamente ganó atención tras ser desplegado a través de la cadena de exploits “ToolShell” de SharePoint. ToolShell combinó CVE-2025-49704 y CVE-2025-49706, mientras que a los bypasses posteriores se les asignó CVE-2025-53770 y CVE-2025-53771.

CISA confirmó que la cadena permitió el acceso no autorizado a servidores SharePoint locales, la exposición de configuraciones internas y la ejecución remota de código.

Warlock estuvo entre las cargas útiles de ransomware observadas en los sistemas comprometidos. Nuevos fallos de SharePoint revelados en 2026 han mantenido relevante la superficie de ataque, y CISA ha advertido sobre la explotación activa que afecta a las ediciones locales compatibles.

Según la investigación publicada por Symantec, Longlegs suele plantar un webshell ASPX en el directorio LAYOUTS de SharePoint, apuntando a varias versiones del producto simultáneamente.

El webshell extrae las claves de máquina de ASP.NET, lo que permite a los atacantes falsificar cargas útiles __VIEWSTATE firmadas y ejecutar código dentro del pool de aplicaciones de SharePoint.

Posteriormente, se carga malware adicional mediante el cargue lateral de DLL (DLL sideloading), mientras que los instaladores se recuperan de servicios de hosting legítimos, incluidos Catbox y Wasabi, ayudando a que el tráfico malicioso parezca actividad rutinaria en la nube.

En una intrusión de infraestructura crítica, la actividad comenzó el 22 de julio de 2026, cuando apareció un webshell en un servidor SharePoint. Más tarde, los atacantes ejecutaron whoami, net user /domain y nltest /domain_trusts, desplegaron pares de sideloading y usaron NetExec para el descubrimiento de Active Directory, el rociado de credenciales (credential spraying) y la ejecución remota.

También instalaron code-insiders.exe, firmado por Microsoft, como un servicio y abusaron de la función de túnel de Visual Studio Code, creando un acceso encubierto a través de infraestructura que tú, como defensor, podrías asociar con administradores o desarrolladores legítimos.

Antes del cifrado, Longlegs impulsó una utilidad de terminación de AV y EDR a al menos 40 hosts en aproximadamente dos horas. Operaciones recientes han utilizado el controlador K7RKScan, firmado pero vulnerable, rastreado como CVE-2025-1055, para terminar procesos privilegiados desde el espacio del kernel, una técnica conocida como "trae tu propio controlador vulnerable" (bring-your-own-vulnerable-driver).

NIST indica que el fallo proviene de la falta de autorización en el manejador IOCTL del controlador y afecta a las versiones de K7 Security Anti-Malware anteriores a la 23.0.0.10. Los investigadores advirtieron que no identificaron concluyentemente el controlador específico utilizado en esta intrusión.

Warlock se ejecutó casi inmediatamente en al menos 33 sistemas. Los atacantes colocaron run.exe, rune.exe y la nota de rescate “how to restore your files.txt” en la carpeta compartida SYSVOL del dominio comprometido.

Debido a que SYSVOL se replica en los controladores de dominio y es legible en todo el dominio, la replicación ordinaria del Sistema de Archivos Distribuidos ayudó a entregar la carga útil de forma generalizada, convirtiendo la infraestructura de confianza de Active Directory en un canal de distribución de ransomware.

La campaña demuestra por qué aplicar parches por sí solo es insuficiente tras una sospecha de explotación de SharePoint. Tú, como defensor, deberías buscar webshells y comportamientos anormales en los procesos trabajadores de SharePoint, rotar las claves de máquina de ASP.NET e IIS después de eliminar la persistencia, habilitar AMSI en modo completo, desplegar EDR, restringir la exposición de SharePoint a internet e inspeccionar solicitudes sospechosas de ToolPane.aspx.

CISA recomienda adicionalmente colocar cualquier despliegue necesario orientado al público detrás de un proxy de Capa 7 autenticado y bloquear el acceso externo a la Administración Central. Para los operadores de agua, telecomunicaciones, gobierno y educación, un retraso en la remediación puede transformar un único servidor de colaboración expuesto en una interrupción operativa en todo el dominio.

El patrón de objetivos puede reflejar servidores expuestos vulnerables o una asignación regional deliberada, pero cualquiera de las dos explicaciones exige que realices ahora mismo un descubrimiento de activos, contención y planificación de recuperación urgentes.