Warlock blijft zich richten op SharePoint-omgevingen in aanvallen tegen organisaties in kritieke sectoren, overheden en het onderwijs. Volgens een rapport van Symantec zet de groep daarbij herhaaldelijk dezelfde route in: het misbruiken van SharePoint-exploitaties ToolShell als startpunt voor verdere inbraak en uiteindelijk ransomware.
Wat deze campagne extra relevant maakt voor beveiligingsteams is dat er niet alleen sprake is van herhaling van dezelfde kwetsheden, maar ook van een herkenbare werkwijze erna. Denk aan het plaatsen van backdoors en het voorbereiden van grootschalige versleuteling op meerdere systemen.
Waarom ToolShell opnieuw opduikt
Symantec beschrijft dat Warlock in meerdere onderzochte incidenten voortbouwt op kwetsbaarheden in SharePoint. Het betreft met name ToolShell, door eerdere waarnemingen in verband gebracht met zogenoemde zero-days. In het afgelopen jaar werd vastgesteld dat staat-gesponsorde dreigingsactoren twee SharePoint-kwetsbaarheden “ToolShell” minstens twee weken misbruikten vóór publieke bekendmaking.
In de weken na die periode zouden meer dan 400 SharePoint-servers zijn gecompromitteerd. Binnen die golf viel de aanpak van Storm-2603 op door het gerichte gebruik van ToolShell, terwijl er tegelijkertijd veel andere geavanceerde APT-activiteiten liepen.
Warlock en Storm-2603: wie doet wat?
Symantec koppelt Warlock aan een China-gebaseerde hackinggroep die door onderzoekers wordt gevolgd als Longlegs en Storm-2603. Deze groep is eerder gerelateerd aan meerdere kwaadaardige campagnes, waaronder CL-CRI-1040, CamoFei en ChamelGang.
Belangrijk: de activiteit van Storm-2603 lijkt niet te stoppen. Onderzoekers melden dat al in oktober 2025 meerdere Warlock-ransomwareaanvallen werden gezien die ToolShell misbruikten. Slachtoffers varieerden daarbij van telecomorganisaties tot overheidsinstanties en universiteiten in verschillende regio’s, waaronder de Verenigde Staten.
De aanvalsketen na SharePoint-misbruik
Symantec stelt dat Storm-2603 in aanvallen doorgaans SharePoint-kwetsbaarheden exploiteert. Naast ToolShell kan het arsenaal volgens onderzoekers ook recentere kwetsbaarheden bevatten met CVE-aanduidingen zoals CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644, CVE-2026-50522 en CVE-2026-55040.
Na de initiële toegang volgen vaak stappen die gericht zijn op persistence, privilege en het voorbereiden van versleuteling. In de onderzochte incidenten zagen onderzoekers onder meer:
- Webshell deployment op systemen die later voor verdere controle worden gebruikt.
- Exfiltratie van de ASP.NET machine key, wat kan helpen bij aanvallen die leunen op authenticatie- of sessie-gerelateerde details.
- Inzet van een geforceerde signed payload voor remote code execution (RCE).
Ook opvallend is het gebruik van DLL sideloading voor in-memory code execution. Daarmee kan code worden uitgevoerd zonder dat het direct als “klassiek” bestand opvalt.
Uitschakelen van beveiliging en “living-off-the-land”
In één van de intrusies beschrijven de onderzoekers dat de aanvaller een tool implementeerde om beveiligingssoftware op ten minste 40 systemen te blokkeren. Vervolgens werd Warlock ingezet op minstens 33 van die systemen.
Daarnaast werkt Storm-2603 met een combinatie van eigen modules en legitieme componenten (living-off-the-land). Zo worden voor reconnaissance en commando-uitvoering tooling gebruikt die zich kan voordoen als normaal administratief of developer-gereedschap.
De groep laat payloads bovendien landen via legitieme file-sharing- en opslagdiensten, en combineert dat met een kwetsbare driver die helpt om beveiligingstools te beïnvloeden.
Visual Studio Code tunnel misbruik voor stille toegang
Een ander element dat Symantec benadrukt: de dreigingsactor zou ook misbruik maken van de ingebouwde Visual Studio Code “tunnel”-functionaliteit. Daarbij werd een binair bestand (code-insiders.exe) als service geïnstalleerd om verborgen remote netwerktoegang te realiseren.
Het doel hiervan is om het verkeer beter te laten aansluiten op patronen die vaak al aanwezig zijn vanuit developer- of administratieve werkstations. Met andere woorden: het maakt de kwaadwillende activiteit minder “verdacht” in vergelijking met standaard aanvallen die vanuit onverwachte netwerkroutes opereren.
SYSVOL-staging voor grootschalige versleuteling
Volgens het rapport wordt de Warlock-payload voorbereid binnen de SYSVOL-share van het domein. Dat is relevant omdat SYSVOL automatisch wordt gerepliceerd naar alle domeincontrollers en bovendien domeinbreed leesbaar is.
Voor ransomware betekent dit dat versleuteling op schaal beter kan worden uitgevoerd: zodra de payload op die plek klaarstaat, krijgt de dreiging sneller voet aan de grond op meerdere control-plaatsen binnen het domein.
Concrete impact: kritieke systemen en onderwijs/overheid
Symantec vermeldt dat Warlock in de periode van twee maanden ten minste vier slachtoffers raakte in landen die Portugees of Spaans spreken. De getroffen organisaties omvatten twee operators in de kritieke infrastructuur, waaronder een waterutility en een telecommunicatieprovider. Daarnaast werden een regionale overheidsinstantie en een universiteit genoemd.
Deze mix laat zien dat de dreiging zich niet beperkt tot één type IT-landschap. Integendeel: SharePoint is juist vaak een centraal platform voor documentbeheer en samenwerking, waardoor het een aantrekkelijk startpunt blijft voor aanvallers.
Wat betekent dit voor je beveiliging?
De kernboodschap van Symantec is helder: de exploitatie van ToolShell en gerelateerde SharePoint-kwetsbaarheden blijft een haalbare route voor aanvallers richting een compromittering. Dat is met name riskant bij omgevingen die niet zijn gepatcht of niet voldoende zijn gemitigeerd.
Voor teams die SharePoint beheren, is dit een praktische checklist om de kans op succesvolle initial access te verkleinen:
- Patch en update SharePoint en alle componenten in de keten rond webtoegang en integraties.
- Controleer op webshell-indicatoren en op afwijkende bestanden of scripts op serveronderdelen.
- Let op tekenen van ASP.NET gerelateerde misbruik, waaronder verdachte configuratie- of sleutelgerelateerde uitgaande activiteiten.
- Monitor beveiligingssoftwaregedrag: processen of acties die beveiliging uitschakelen of blokkeren verdienen directe aandacht.
- Zoek naar “tunnel”- of tunneling-achtig netwerkgedrag dat past bij developer tooling, maar buiten een normaal incident- of beheertraject valt.
- Houd SYSVOL-integriteit scherp: afwijkende staging van payloads in gedeelde domeinlocaties is een serieus signaal.
Wil je bredere context over waarom “fundamentals” in security blijven helpen, ook wanneer aanvallen steeds geavanceerder worden? Lees dan ook Focus op security fundamentals: AI versnelt, basis blijft.
Gerelateerde dreigingen en verder lezen
De Warlock-activiteiten passen in een bredere trend waarin aanvallers via bekende kwetsbaarheden en slimme post-exploit technieken opschalen. In diezelfde sfeer zijn er ook andere onderzoeken naar exploitketens en ransomware-ingangen.
Als je wilt zien hoe APT-achtige groepen hun infectieketen inzetten, dan is Star Blizzard gebruikt RedFlick-infectieketen: zo werkt het een nuttig vervolg.
Voor teams die zich specifiek richten op AI- en agentgedreven dreigingen en de interactie met bestaande applicaties en aanvalsvectoren, kan dit eveneens helpen bij het opzetten van een totaalbeeld: AI-agents en SQL-injection: risico’s voor overheid.
Conclusie
De meest recente inzichten laten zien dat SharePoint-exploitaties ToolShell voor Storm-2603 en Warlock nog steeds een effectieve startroute zijn. Na het initiële misbruik volgen doorgaans duidelijke stappen: het plaatsen van webshells, het verwerken van gevoelige configuratie-informatie, het uitvoeren van RCE en het voorbereiden van grootschalige versleuteling.
Voor organisaties komt dit neer op één prioriteit: zorg dat SharePoint-servers en gerelateerde componenten volledig gepatcht en gemitigeerd zijn, en versterk detectie rond de post-exploit fases. Alleen dan verklein je de kans dat een “startpunt” in SharePoint uitgroeit tot een domeinbrede ransomwarecampagne.
