Een vermoedelijk Chinese hackersgroep gebruikt de Warlock-ransomware bij aanvallen op organisaties in Portugees- en Spaanstalige landen. Onder de getroffen partijen zijn een waterbedrijf, telecomaanbieder, universiteit en regionale overheid.
De aanvallers maken misbruik van kwetsbaarheden in Microsoft SharePoint, een veelgebruikte dienst voor documentbeheer en samenwerking. De slachtoffers bevinden zich in Europa, Afrika en Latijns-Amerika.
Onderzoekers van Symantec stellen dat de campagne in 2026 doorgaat en zich niet alleen richt op eerder bekende SharePoint-lekken uit 2025, maar ook op nieuwere kwetsbaarheden. De Amerikaanse Cybersecurity and Infrastructure Security Agency waarschuwde vorige maand dat aanvallers zes nieuwe SharePoint-kwetsbaarheden uitbuiten die brede toegang tot organisaties kunnen geven.
Beveiliging uitgeschakeld
Bij een van de incidenten gebruikten de aanvallers een hulpmiddel om beveiligingssoftware op tientallen systemen uit te schakelen, voordat de Warlock-ransomware werd uitgerold. Ook voerden zij uitgebreid onderzoek uit binnen gecompromitteerde netwerken.
Daarbij installeerden de aanvallers verschillende hulpmiddelen om hun activiteiten te laten lijken op normaal netwerkverkeer vanaf werkplekken van ontwikkelaars of systeembeheerders. SharePoint is voor aanvallers een aantrekkelijk doelwit doordat organisaties er vaak vertrouwelijke documenten opslaan en de dienst nauw verbonden is met Microsofts authenticatiesystemen.
Risico voor essentiële diensten
De nadruk op Portugees- en Spaanstalige landen kan wijzen op een opportunistische keuze voor publiek bereikbare, kwetsbare SharePoint-servers. Volgens Symantec kan ook sprake zijn van gerichtere opdrachten. De betrokkenheid van aanbieders van essentiële diensten onderstreept volgens de onderzoekers dat succesvolle ransomware-aanvallen gevolgen kunnen hebben buiten de getroffen organisatie zelf.
Microsoft waarschuwde vorig jaar al voor China-gerelateerde aanvallers die Warlock inzetten tegen SharePoint-lekken die bekendstaan als ToolShell. Microsoft koppelde de groep destijds niet aan andere door het bedrijf gevolgde Chinese staatsgesteunde groepen. De aanvallers gebruikten eerder LockBit-ransomware, voordat zij overstapten op Warlock.
Warlock werd eerder gebruikt bij aanvallen op organisaties in onder meer de Verenigde Staten, Rusland, Brazilië, India, Taiwan en Japan.
