Warlock usa falhas no SharePoint para neutralizar defesas e espalhar ransomware
O grupo de cibercriminosos conhecido como Warlock mantém uma campanha contra servidores locais do Microsoft SharePoint. Pesquisadores associam os operadores a atividades relacionadas à China e identificaram ataques a organizações de países de língua portuguesa e espanhola. A operação combina exploração de vulnerabilidades, desativação de ferramentas de proteção e instalação de ransomware.
Nos últimos dois meses analisados, ao menos quatro entidades foram atingidas: uma companhia de abastecimento de água, uma operadora de telecomunicações, um órgão regional do governo e uma universidade. As vítimas estão na Europa, na África e na América Latina, e incluem setores considerados essenciais para o funcionamento de serviços públicos e privados.
O recorte geográfico pode indicar uma busca oportunista por servidores SharePoint expostos à internet e vulneráveis. Também é possível que os criminosos estejam selecionando alvos de forma deliberada. O grupo aparece em investigações sob outros nomes, como Gold Salem, Longlegs e Storm-2603.
O Warlock ganhou notoriedade em meados de 2025, quando foi associado à exploração de vulnerabilidades zero-day conhecidas como ToolShell, que afetam versões locais do SharePoint Server. Essas falhas foram usadas para invadir redes e abrir caminho para ataques de ransomware. Em outra operação, o grupo foi relacionado ao comprometimento da empresa SmarterTools por meio de uma instalação desatualizada do SmarterMail.
Como a invasão avança
Nos ataques ao SharePoint, os invasores exploram diferentes vulnerabilidades para obter acesso inicial. Em seguida, instalam web shells – componentes que permitem executar comandos remotamente – e tentam capturar as chaves de máquina ASP.NET usadas pelo ambiente SharePoint.
Com essas chaves, os criminosos podem criar payloads que a aplicação reconhece como válidos. Isso pode permitir a execução remota de código dentro do application pool do SharePoint, dando continuidade à invasão e facilitando a instalação de outras ferramentas.
A cadeia também pode recorrer ao DLL sideloading, técnica que aproveita o carregamento de bibliotecas por programas legítimos para executar código malicioso na memória. Para buscar componentes adicionais, os operadores usaram serviços de armazenamento e compartilhamento de arquivos, uma forma de tentar misturar o tráfego da operação ao de atividades comuns.
Em uma invasão a uma organização de infraestrutura crítica, uma ferramenta criada para desativar soluções de segurança foi distribuída a pelo menos 40 máquinas em cerca de duas horas. Depois, o ransomware Warlock foi instalado em pelo menos 33 sistemas. A velocidade da operação ampliou o alcance do ataque antes que as defesas pudessem conter a movimentação.
Para disseminar arquivos, os criminosos armazenaram o payload no SYSVOL, diretório de domínio usado pelo Windows e replicado entre controladores. Como consequência, o próprio mecanismo de replicação da rede pode ajudar a propagar os arquivos maliciosos entre máquinas.
Técnicas para contornar a segurança
Uma das ferramentas observadas foi o driver K7RKScan.sys. Embora legítimo, o componente contém uma vulnerabilidade identificada como CVE-2025-1055. O Warlock o utiliza em ataques do tipo BYOVD – “traga seu próprio driver vulnerável” – para interferir em programas de segurança. Operadores do ransomware DragonForce também já haviam explorado esse driver.
O grupo combina esse método com ferramentas legítimas e recursos nativos do sistema, numa estratégia chamada living-off-the-land. Entre os instrumentos identificados está a função de túnel do Microsoft Visual Studio Code, que pode estabelecer conexões remotas com sistemas comprometidos e auxiliar os invasores a manter o acesso.
Em uma atividade registrada em 22 de julho de 2026, os operadores exploraram falhas no SharePoint, instalaram um web shell, realizaram reconhecimento da rede e obtiveram execução de código no application pool. Depois, baixaram outros componentes, avançaram pelo ambiente usando túneis do VS Code, encerraram ferramentas de proteção e implantaram o ransomware.
A operação também apresenta sobreposições com atividades antes rastreadas sob os nomes CL-CRI-1040, CamoFei e ChamelGang. Isso não significa necessariamente que todas sejam conduzidas pelo mesmo grupo, mas indica semelhanças que ajudam pesquisadores a relacionar campanhas e técnicas.
Como reduzir o risco
A permanência dessas operações mostra que servidores SharePoint sem correções continuam sendo uma porta de entrada atrativa. Organizações que utilizam versões locais da plataforma devem aplicar as atualizações de segurança disponíveis e verificar se os sistemas expostos à internet estão protegidos por medidas de mitigação adequadas.
Também é importante revisar registros de autenticação, conexões externas e execução de processos nos servidores SharePoint. Web shells podem permanecer instalados mesmo depois da correção da vulnerabilidade inicial; por isso, atualizar o sistema não substitui a investigação de possíveis sinais de comprometimento.
As equipes de tecnologia devem monitorar alterações incomuns no SYSVOL e no tráfego de replicação entre controladores de domínio. A presença de arquivos inesperados nesse diretório, ou de atividade anormal associada a ferramentas administrativas, pode indicar tentativa de disseminação pela rede.
A proteção contra BYOVD exige atenção especial aos drivers carregados nos endpoints. Políticas que bloqueiam drivers vulneráveis ou não autorizados, junto com mecanismos de proteção contra adulteração, podem dificultar a desativação das soluções de segurança. Alertas de encerramento inesperado de processos de proteção devem ser tratados como possíveis sinais de ataque.
Por fim, cópias de segurança isoladas e testes regulares de restauração ajudam a limitar o impacto de um ransomware. Um plano de resposta deve definir como isolar sistemas afetados, preservar evidências e interromper a propagação sem comprometer os serviços essenciais. As táticas do Warlock mostram que a defesa precisa combinar correção rápida, monitoramento contínuo e capacidade de recuperação.