Onderzoekers van Symantec en Carbon Black Threat Hunter Team melden dat de dreigingsgroep Warlock (ook bekend als onder meer Gold Salem, Longlegs en Storm-2603) door blijft gaan met het uitbuiten van kwetsbaarheden in Microsoft SharePoint. In aanvallen richt de groep zich op organisaties in Portugese- en Spaanstalige landen, met doelwitten in sectoren zoals kritieke infrastructuur, overheid en onderwijs.
Wat dit extra urgent maakt: Warlock gebruikt technieken die niet alleen toegang opleveren, maar ook securitytools op een besmet systeem kunnen uitschakelen. Dit maakt de keten richting Warlock SharePoint ransomware extra gevaarlijk voor omgevingen waar SharePoint on-premises draait en niet (tijdig) is gepatcht.
Wie is Warlock en waarom SharePoint?
Warlock werd volgens de meldingen eerder prominent doordat de groep een SharePoint-kwetsbaarheid inzette om ransomware te plaatsen. De huidige observaties laten zien dat de aanvaller blijft zoeken naar “oude en mogelijk ook nieuwe” SharePoint-kwetsbaarheden, zowel bij bestaande als bij nieuw gepatchte (of juist niet gepatchte) installaties.
De aanvallen worden gekoppeld aan intrusies in organisaties verspreid over meerdere regio’s (Europa, Afrika en Latijns-Amerika). In recente gevallen beschrijven onderzoekers dat de groep in twee maanden ten minste vier organisaties aanviel.
Van SharePoint-kwetsbaarheid naar webshell
Zodra Warlock een weg naar een kwetsbare SharePoint-omgeving heeft gevonden, worden er webshells geplaatst. Die webshells zijn niet “eenrichtingsverkeer”: ze zijn bedoeld om gericht te opereren en kunnen (afhankelijk van de versie en configuratie) meerdere versies van SharePoint treffen.
De uiteindelijke drijfveer achter deze webshell-constructie is het bemachtigen van sleutelmateriaal in de SharePoint-farm. Concreet gaat het om ASP.NET machine keys, waarmee de aanvaller een digitaal geldig gesigneerde payload kan forceren. Daardoor volgt vervolgens remote code execution binnen het SharePoint-toepassingpool (application pool).
Waarom die stap zo belangrijk is
Veel aanvallen blijven hangen op “initiële toegang”. Warlock daarentegen probeert door te groeien naar uitvoering binnen een kerncomponent van de applicatieomgeving. Dat verlaagt de kans dat standaard detectie vroeg genoeg ingrijpt, omdat de actie gebeurt op een plek die de organisatie zelf vertrouwt: de SharePoint-applicatiecontext.
Payloads verstoppen en verspreiden via SYSVOL
Naast de webshells wijzen de onderzoekers op een aanpak om payloads op schaal uit te rollen. In één incident bij een kritieke infrastructuurorganisatie rapporteerden de analisten dat een hulpmiddel om securitysoftware uit te schakelen al binnen ongeveer twee uur naar ten minste 40 hosts werd geduwd.
Daarna werd Warlock op ten minste 33 hosts geïntroduceerd door het te plaatsen in de SYSVOL-share van het domein. Vervolgens werd het dankzij normale domeinreplicatie naar machines verspreid. Dit is een manier van werken die minder opvalt dan elke host apart benaderen.
Uitschakelen van beveiliging: BYOVD en kwetsbare drivers
Een opvallend element in de meldingen is dat Warlock niet alleen toegang gebruikt, maar ook bewust beveiliging ondermijnt. Een van de genoemde technieken is bring your own vulnerable driver (BYOVD): de aanvaller misbruikt een kwetsbare driver om securitysoftware op een gecompromitteerd systeem “uit de weg te ruimen”.
In de observaties gaat het om het misbruiken van een driver K7RKScan.sys met CVE-2025-1055. Daarbij wordt vermeld dat dezelfde driver eerder ook door ransomwaregroepen is ingezet.
Daarnaast beschrijven de onderzoekers dat Warlock verder werkt met technieken als DLL sideloading, waarbij kwaadaardige code in het geheugen kan worden geladen. Samen met BYOVD levert dit een krachtig pakket aan “defense evasion” gedrag: de keten wordt zowel verdoezeld als versneld.
Living-off-the-land en legitieme tools
Warlock lijkt regelmatig gebruik te maken van living-off-the-land (LotL) technieken: aanvallen die leunen op legitieme functionaliteit van systemen en tooling, waardoor het gedrag lijkt op normaal administratief of ontwikkelingsgebruik.
Een voorbeeld dat onderzoekers noemen is het inzetten van de ingebouwde tunnel functionaliteit van Visual Studio Code om remote verbindingen te faciliteren naar geïnfecteerde systemen. Daarnaast wordt genoemd dat er ook gebruik wordt gemaakt van tools zoals Velociraptor voor command-and-control (C2).
Verder verstoppen aanvallen follow-up payloads in het verkeer door downloads te doen via legitieme cloudbestands- en opslagdiensten, waaronder catbox[.]moe en wasabisys[.]com. Daarmee wordt de kans groter dat standaard infrastructuurreviews of eenvoudige IOC-detectie minder direct raak is.
Waarom dit langer door kan lopen dan je verwacht
Symantec en Carbon Black benadrukken dat Warlock’s activiteit al meer dan een jaar zichtbaar is na het moment waarop de groep voor het eerst prominenter werd als SharePoint-ransomwareactor. Het signaal is duidelijk: het misbruiken van ToolShell en gerelateerde SharePoint-kwetsbaarheden blijft een haalbare route voor aanvallers.
De kern van het probleem is patchstatus en mitigatie. Wanneer SharePoint on-premises draait zonder effectieve bescherming—bijvoorbeeld door achterstallig onderhoud of onvoldoende harde configuratie—dan blijft er een deur open voor aanvallers die geduldig blijven doorgaan.
Wat betekent dit voor jouw SharePoint-omgeving?
Als je SharePoint on-premises gebruikt, is dit type aanval geen theoretisch risico. De meldingen laten zien dat een aanvaller niet alleen toegang wil, maar ook securitytools wil verstoren en daarna ransomware grootschalig wil uitrollen.
Praktisch gezien kun je de focus leggen op drie sporen:
- Patchen en kwetsbaarheden uitsluiten: check of SharePoint (en alle relevante componenten/configuraties) volledig up-to-date is. Richt je specifiek op de SharePoint-Server aanpak die als initial access route wordt beschreven.
- Beperk lateral movement: let op gedeelde domeinresources zoals SYSVOL en hoe replicatie wordt gebruikt. Denk aan segmentatie en controle op scripts/payloads die via domeinmechanismen verspreiden.
- Detecteer “securitytool interference”: omdat Warlock expliciet securitysoftware probeert uit te schakelen, moet je logging en alerting klaar hebben voor ongebruikelijke uitschakelacties en driver-gebaseerde defense evasion.
Wil je verbreden naar algemene defense-in-depth voor AI- en agentomgevingen? Lees dan ook eens Bron: https://thehackernews.com/2026/10/warlock-exploits-sharepoint-flaws-to.html
