استغلال مجموعة Warlock لثغرات SharePoint ونشر برامج الفدية

استغلال مجموعة Warlock لثغرات SharePoint لتعطيل أدوات الأمان ونشر برامج الفدية

تستمر مجموعة Warlock، المرتبطة بالصين، في استغلال ثغرات Microsoft SharePoint، سواء القديمة أو الجديدة، في هجماتها التي تستهدف المنظمات في البلدان الناطقة بالبرتغالية والإسبانية.

وقد رصد فريق Threat Hunter من Symantec وCarbon Black هذه الأنشطة التي استهدفت البنية التحتية الحرجة، والجهات الحكومية، والمنظمات التعليمية.

في الشهرين الماضيين، هاجمت مجموعة Longlegs ما لا يقل عن أربع منظمات، بما في ذلك مشغلين للبنية التحتية الحرجة (مرفق مياه ومزود اتصالات)، وهيئة حكومية إقليمية، وجامعة. كانت الضحايا في بلدان ناطقة بالبرتغالية والإسبانية، تشمل أوروبا وأفريقيا وأمريكا اللاتينية.

برزت مجموعة Warlock، المعروفة أيضًا باسم Gold Salem وLonglegs وStorm-2603، في منتصف عام 2025 في سياق استغلال الثغرات صفرية اليوم في “ToolShell” لنشر برامج الفدية على الأنظمة المستهدفة.

في وقت سابق من هذا العام، تم ربط المجموعة باختراق SmarterTools من خلال استغلال نسخة غير مصححة من SmarterMail. كما اعتمدت أيضًا على أدوات شرعية مثل Velociraptor لأغراض التحكم في الأوامر والاتصالات (C2) وتقنية “إحضار برنامج تشغيل ضعيف خاص بك” (BYOVD) لتعطيل برامج الأمان التي تعمل على المضيف المخترق.

وفقًا لـ Symantec، تشترك مجموعة Warlock في بعض الأنشطة مع مجموعات قديمة معروفة مثل CL-CRI-1040 وCamoFei وChamelGang.

في إحدى الهجمات ضد مشغل للبنية التحتية الحرجة، دفع المهاجمون أداة مصممة لتعطيل برامج الأمان إلى ما لا يقل عن 40 مضيفًا في غضون ساعتين، ثم نشروا Warlock على ما لا يقل عن 33 مضيفًا من خلال تخزينه في مشاركة SYSVOL الخاصة بالنطاق، حيث تم تسليمه إلى الآلات عبر النسخ العادي للنطاق.

استفادت الهجمات التي شنتها Warlock من ثغرات متعددة في نشرات Microsoft SharePoint Server المحلية. عند العثور على طريقة للدخول، وُجد أن المهاجمين يقومون بإسقاط قذائف ويب يمكن أن تستهدف إصدارات متعددة من SharePoint.

الهدف النهائي من قذيفة الويب هو جمع مفاتيح الآلة ASP.NET لمزرعة SharePoint، والتي يتم استغلالها بعد ذلك لتزوير حمولة موقعة بشكل صحيح وتحقيق تنفيذ التعليمات البرمجية عن بُعد داخل مجموعة تطبيقات SharePoint.

بعض التكتيكات الأخرى الملاحظة تشمل:

• استخدام تحميل DLL لتحميل التعليمات البرمجية الخبيثة في الذاكرة.
• تنزيل حمولات تالية من خدمات تخزين ومشاركة الملفات السحابية الشرعية مثل catbox[.]moe وwasabisys[.]com لتجنب الكشف.
• استغلال برنامج تشغيل شرعي ولكنه ضعيف K7RKScan.sys (CVE-2025-1055) كجزء من هجوم BYOVD لتعطيل برامج الأمان. تم استغلال نفس البرنامج من قبل ممثلي برامج الفدية DragonForce.
• استخدام أدوات “العيش على الأرض” (LotL) لإجراء الاستطلاع وتنفيذ الأوامر على المضيفين المخترقين، بما في ذلك استغلال ميزة النفق المدمجة في Microsoft Visual Studio Code لتسهيل الاتصالات عن بُعد مع الأنظمة المصابة.
• تخزين الحمولات داخل مشاركة SYSVOL الخاصة بالنطاق المخترق لنشر برامج الفدية على نطاق واسع.

في 22 يوليو 2026، يُقال إن المهاجمين استغلوا ثغرات خادم SharePoint لإسقاط قذيفة ويب، وإجراء اكتشاف، والحصول على تنفيذ التعليمات البرمجية التعسفية داخل مجموعة تطبيقات SharePoint، ونشر حمولات إضافية، والتعمق أكثر في الشبكة، وإقامة أنفاق VS Code، وإنهاء برامج الأمان، وفي النهاية نشر ثنائي برامج الفدية.

تظهر الأنشطة المستمرة لمجموعة Longlegs، بعد أكثر من عام على ظهور برامج الفدية Warlock، أن استغلال ToolShell وغيرها من الثغرات ذات الصلة في SharePoint لا يزال طريق وصول أولي قابلاً للتطبيق للمهاجمين الذين لم يتم تصحيح نشرات SharePoint أو تخفيفها.

تشير التركيزات الأخيرة على البلدان الناطقة بالبرتغالية والإسبانية إما إلى نمط استهداف انتهازي مدفوع بخوادم SharePoint المكشوفة والضعيفة، أو تكليف أكثر تعمدًا.