Warlock ransomware atakuje duże organizacje hiszpańsko- i portugalskojęzyczne

Wprowadzenie do problemu / definicja

Warlock to grupa ransomware łącząca metody typowe dla cyberprzestępczości z technikami kojarzonymi z bardziej zaawansowanymi operacjami intruzji. Najnowsze obserwacje wskazują, że operatorzy koncentrują się na dużych organizacjach działających w krajach hiszpańsko- i portugalskojęzycznych, wykorzystując podatności w technologiach Microsoft do uzyskania dostępu, utrzymania obecności i wdrożenia ładunku szyfrującego.

Skala i dobór celów sugerują, że nie są to przypadkowe kampanie masowe. Ataki wymierzone są w podmioty o dużym znaczeniu operacyjnym, gdzie skutki incydentu mogą szybko przełożyć się na przestoje, zakłócenia usług oraz wysoką presję na zapłatę okupu.

W skrócie

Warlock koncentruje się na dużych organizacjach o wysokiej wartości operacyjnej.
Głównym wektorem wejścia są podatności w Microsoft SharePoint.
Grupa wykorzystuje DLL sideloading, BYOVD oraz techniki living-off-the-land.
Do rozprzestrzeniania ransomware w domenie używany jest udział SYSVOL i mechanizmy Active Directory.
Profil działań wskazuje na rosnącą dojrzałość operacyjną oraz bardziej selektywny dobór ofiar.

Kontekst / historia

Warlock pojawił się publicznie w 2025 roku i od początku wzbudzał zainteresowanie analityków ze względu na nietypowy profil operacyjny. Część obserwowanych taktyk, technik i procedur przypominała działania grup realizujących zaawansowane kampanie ukierunkowane, zwłaszcza w obszarze wykorzystania luk w SharePoint oraz jakości prowadzenia operacji.

Jednocześnie końcowym etapem ataków pozostawało wdrożenie ransomware, co wpisuje się w model wymuszenia finansowego. W różnych analizach grupa była opisywana także pod innymi nazwami, między innymi jako Longlegs, a w nomenklaturze Microsoft jako Storm-2603. Wcześniejsze kampanie obejmowały cele w wielu regionach świata, natomiast obecne przesunięcie w stronę organizacji hiszpańsko- i portugalskojęzycznych może wskazywać na zmianę priorytetów i bardziej precyzyjne profilowanie ofiar.

Analiza techniczna

Kluczowym etapem łańcucha ataku pozostaje uzyskanie dostępu początkowego przez eksploatację luk w Microsoft SharePoint. W praktyce oznacza to wysokie ryzyko dla środowisk lokalnych, gdzie serwery tej platformy często pełnią centralną rolę w obiegu dokumentów, współpracy i integracji z innymi usługami.

Po przełamaniu warstwy wejściowej operatorzy przechodzą do utrzymania dostępu i przygotowania środowiska do ruchu bocznego. W tym celu wykorzystywane są techniki pozwalające ograniczyć widoczność złośliwej aktywności i ukryć ją w legalnych procesach systemowych.

DLL sideloading do uruchamiania złośliwego kodu w kontekście zaufanych aplikacji,
BYOVD, czyli wykorzystanie legalnie podpisanych, ale podatnych sterowników do obchodzenia mechanizmów ochronnych,
living-off-the-land, polegające na nadużywaniu natywnych narzędzi administracyjnych i funkcji systemu Windows.

Na uwagę zasługuje również wykorzystanie funkcji zdalnego tunelowania w Visual Studio Code jako kanału dostępu zdalnego. Taka aktywność może wtapiać się w legalny ruch i nie zawsze wygląda jak klasyczny backdoor, co utrudnia wczesne wykrycie incydentu.

Najbardziej charakterystyczny element kampanii dotyczy jednak dystrybucji ransomware. Zamiast polegać wyłącznie na tradycyjnych narzędziach zdalnego wykonywania poleceń, operatorzy umieszczają ładunek w udziale SYSVOL domeny, a następnie wykorzystują replikację Active Directory do jego rozpropagowania pomiędzy kontrolerami domeny. To podejście zwiększa skuteczność ataku i dobrze wpisuje się w model nadużywania natywnych mechanizmów administracyjnych środowiska Windows.

Konsekwencje / ryzyko

Ryzyko związane z aktywnością Warlock jest wysokie, ponieważ grupa koncentruje się na organizacjach o dużym znaczeniu operacyjnym. Uderzenie w infrastrukturę krytyczną, telekomunikację, administrację publiczną czy sektor akademicki może prowadzić nie tylko do szyfrowania danych, ale również do zakłóceń świadczenia usług i długotrwałych przestojów.

Dodatkowym zagrożeniem jest wykorzystanie SharePoint jako punktu wejścia. Kompromitacja tej platformy może ułatwić eskalację uprawnień, rozpoznanie środowiska i przejęcie infrastruktury domenowej. W organizacjach o ograniczonej widoczności telemetrycznej atak może przez dłuższy czas pozostawać niezauważony, zwłaszcza jeśli sprawcy korzystają głównie z legalnych narzędzi i komponentów systemowych.

Nie bez znaczenia pozostaje także niejednoznaczny profil motywacyjny grupy. Jeżeli operatorzy łączą elementy charakterystyczne dla kampanii typu APT z modelem ransomware, organizacje muszą brać pod uwagę zarówno szyfrowanie zasobów, jak i wcześniejszą kradzież danych, rozpoznanie strategiczne oraz długotrwałą obecność w sieci.

Rekomendacje

Organizacje korzystające z Microsoft SharePoint powinny rozpocząć od przeglądu ekspozycji wszystkich instancji lokalnych, weryfikacji poziomu aktualizacji oraz pilnego wdrożenia poprawek dla znanych podatności wykorzystywanych w praktyce. Równie ważne jest rozszerzenie monitoringu o logi aplikacyjne, zdarzenia uwierzytelniania, nietypowe procesy potomne i anomalie komunikacyjne.

Wdrożyć ścisłą kontrolę ładowania bibliotek DLL i wykrywanie prób sideloadingu.
Monitorować instalację oraz użycie podatnych sterowników i zachowania wskazujące na BYOVD.
Wykrywać nietypowe użycie narzędzi administracyjnych oraz funkcji zdalnych.
Zwiększyć nadzór nad udziałem SYSVOL, zmianami w skryptach logowania i pojawianiem się nowych plików wykonywalnych.
Ograniczyć ścieżki ruchu bocznego poprzez segmentację sieci i zasadę najmniejszych uprawnień.
Chronić dostęp administracyjny do serwerów krytycznych i infrastruktury tożsamości.
Utrzymywać kopie zapasowe offline oraz regularnie testować proces odtwarzania.
Prowadzić ćwiczenia tabletop dla scenariuszy obejmujących kompromitację SharePoint i szyfrowanie domeny.

Z perspektywy detekcji szczególnie istotna jest korelacja wielu sygnałów: prób exploitacji SharePoint, nietypowych uruchomień procesów na serwerze aplikacyjnym, użycia sterowników do ingerencji w ochronę, aktywności tunelowania zdalnego oraz pojawienia się ładunków w SYSVOL. Taki zestaw zdarzeń może wskazywać na operację Warlock lub zbliżony scenariusz ransomware.

Podsumowanie

Warlock pokazuje, jak bardzo ewoluowały współczesne grupy ransomware. Połączenie podatności SharePoint, legalnych narzędzi systemowych, technik unikania detekcji oraz mechanizmów Active Directory sprawia, że obrona wymaga dziś nie tylko aktualizacji systemów, ale także dojrzałego monitoringu zachowań i pełniejszej widoczności środowiska.

Dla organizacji działających w sektorach krytycznych kluczowe staje się traktowanie platform współpracy i infrastruktury tożsamości jako zasobów o podwyższonym ryzyku. To właśnie tam coraz częściej rozstrzyga się, czy incydent zostanie zatrzymany na wczesnym etapie, czy przerodzi się w pełnoskalowy kryzys operacyjny.