与中国有关的疑似威胁行为者 Warlock 仍在继续利用 Microsoft SharePoint 漏洞进行武器化，可能包括旧漏洞和新漏洞，针对葡萄牙语和西班牙语国家的组织进行攻击。
这一活动由赛门铁克和 Carbon Black 威胁猎人团队观察到，已对关键基础设施、政府和教育组织造成影响。
“在过去两个月中，Longlegs 至少攻击了四个组织，包括两个关键基础设施运营商（一个水务公司和一个电信提供商）、一个地区政府机构和一所大学，”博通旗下的网络安全部门表示。“受害者位于葡萄牙语和西班牙语国家，涵盖欧洲、非洲和拉丁美洲。”
Warlock 也被追踪为 Gold Salem、Longlegs 和 Storm-2603，在 2025 年中期因利用“ToolShell” SharePoint 漏洞进行零日攻击而获得关注，以在目标系统上部署勒索软件。
今年早些时候，该组织与 SmarterTools 的泄露有关，通过利用未修补的 SmarterMail 实例进行攻击。它还依赖于像 Velociraptor 这样的合法工具进行命令和控制（C2），以及使用自带漏洞驱动程序（BYOVD）技术来禁用在受损主机上运行的安全软件。
根据赛门铁克的说法，Warlock 与已知的旧活动集群 CL-CRI-1040、CamoFei 和 ChamelGang 有重叠。
“在对一个关键基础设施运营商的入侵中，攻击者在大约两个小时内将一种旨在禁用安全软件的工具推送到至少 40 台主机上，然后通过在域的 SYSVOL 共享中进行分发，在至少 33 台主机上部署了 Warlock，”研究人员表示。
Warlock 发起的攻击利用了本地 Microsoft SharePoint Server 部署中的多个漏洞。在成功找到入侵方法后，威胁行为者被发现会放置可以针对多个版本 SharePoint 的 Web Shell。
Web Shell 的最终目标是收集 SharePoint 农场的 ASP.NET 机器密钥，然后滥用这些密钥伪造有效签名的有效负载，并在 SharePoint 应用程序池内实现远程代码执行。
一些其他观察到的战术如下 -
使用 DLL 侧载将恶意代码加载到内存中。
从合法的云文件共享和存储服务（如 catbox[.]moe 和 wasabisys[.]com）下载后续有效负载，以避免被发现。
滥用一个合法但有漏洞的驱动程序 K7RKScan.sys (CVE-2025-1055) 作为 BYOVD 攻击的一部分，以禁用安全软件。该驱动程序之前曾被 DragonForce 勒索软件攻击者利用。
使用“活着的土地”（LotL）工具进行侦察并在受损主机上运行命令。这包括滥用 Microsoft Visual Studio Code 的内置隧道功能，以便与感染系统建立远程连接。
在受损域的 SYSVOL 共享中分发有效负载，以大规模部署勒索软件。
截至 2026 年 7 月 22 日，威胁行为者被称为利用 SharePoint Server 漏洞放置 Web Shell，进行发现，获取 SharePoint 应用程序池内的任意代码执行，部署额外有效负载，深入网络，建立 VS Code 隧道，终止安全软件，并最终部署勒索软件二进制文件。
“Longlegs 的持续活动，距离 Warlock 勒索软件首次引起关注已超过一年，表明 ToolShell 和其他相关 SharePoint 漏洞的利用仍然是针对未修补或未减轻的 SharePoint 部署的攻击者可行的初始访问途径，”赛门铁克和 Carbon Black 表示。
“最近显然集中在葡萄牙语和西班牙语国家的焦点，表明可能是由于暴露的、脆弱的 SharePoint 服务器驱动的机会主义目标模式，或更有意图的任务。”
觉得这篇文章有趣吗？请在 Google News、Twitter 和 LinkedIn 上关注我们，以阅读我们发布的更多独家内容。