Warlock атаковал водоканал и оператора связи через SharePoint

Хакерская группировка Longlegs, которую исследователи связывают с Китаем, атаковала четыре организации с помощью программы-вымогателя Warlock. Среди целей оказались предприятие водоснабжения, оператор связи, региональный орган власти и университет. Для проникновения в корпоративные сети злоумышленники использовали уязвимости Microsoft SharePoint, а для распространения шифровальщика — штатные механизмы Windows и Active Directory.

В одном из расследованных инцидентов преступники за два часа запустили инструмент отключения антивирусов и систем обнаружения атак как минимум на 40 компьютерах. После этого файлы Warlock появились не менее чем на 33 устройствах. Часть вредоносного ПО распространялась через SYSVOL — служебную папку, которую Windows использует для хранения групповых политик и других данных домена.

Подробности раскрыли исследователи Symantec и Carbon Black 1 октября 2026 года. Они отслеживают группировку под названием Longlegs. Microsoft использует для той же активности обозначение Storm-2603.

За два месяца, предшествовавших публикации исследования, специалисты зафиксировали атаки как минимум на четыре организации в португало- и испаноязычных странах Европы, Африки и Латинской Америки. Названия пострадавших компаний и конкретные страны не раскрываются.

Исследователи отдельно восстановили подробную хронологию одного из более ранних проникновений, которое продолжалось с 22 по 31 июля 2026 года. Именно в этом случае хакеры распространили инструменты отключения защиты на десятки компьютеров.

Подтвержденных сведений об остановке водоснабжения, нарушении связи у абонентов или воздействии на промышленное оборудование в открытых материалах нет.

Warlock продолжает использовать уязвимости SharePoint

Warlock появился в июне 2025 года. Уже через месяц программу-вымогатель обнаружили при атаках на локальные серверы Microsoft SharePoint — платформы для совместной работы, хранения документов и организации корпоративных порталов.

Первые крупные инциденты были связаны с цепочкой уязвимостей ToolShell. Она объединяла ошибки безопасности CVE-2025-49704 и CVE-2025-49706, а также связанные с ними CVE-2025-53770 и CVE-2025-53771.

Злоумышленники использовали эти недостатки для обхода защиты и удаленного выполнения кода на серверах SharePoint.

Проблема затрагивала локальные установки SharePoint Server, которые организации размещают и обслуживают самостоятельно. Облачный SharePoint Online, входящий в Microsoft 365, указанным семейством уязвимостей не затрагивался.

В июле 2025 года Microsoft сообщила об эксплуатации ToolShell несколькими группировками. Помимо Linen Typhoon и Violet Typhoon, занимавшихся преимущественно кибершпионажем, уязвимости использовала Storm-2603. Ее операторы устанавливали Warlock и другие программы-вымогатели.

В новых атаках Longlegs продолжает использовать похожую схему проникновения. После получения доступа к SharePoint злоумышленники размещают веб-оболочку — серверный скрипт, позволяющий выполнять команды через веб-запросы.

Вредоносные файлы обнаружили в каталогах LAYOUTS, содержащих служебные компоненты SharePoint. Преступники подготовили скрипты для нескольких версий платформы, что позволяло использовать один подход в разных конфигурациях серверов.

Через веб-оболочку хакеры получали криптографические ключи ASP.NET machineKey, используемые для проверки подлинности данных веб-приложений.

С их помощью можно создавать специально подготовленные данные, которые сервер принимает как корректно подписанные. При наличии соответствующей уязвимости это позволяет выполнять посторонний код в процессе SharePoint.

Впрочем, в подробно исследованной атаке июля 2026 года специалисты не смогли определить конкретную уязвимость, с которой началось проникновение. Эксплуатация SharePoint считается наиболее вероятной причиной первоначального доступа.

В июле 2026 года появились новые уязвимости SharePoint

Опасность для корпоративных серверов не ограничивается ошибками ToolShell, обнаруженными в 2025 году.

14 июля 2026 года американское Агентство по кибербезопасности и защите инфраструктуры CISA предупредило о новых атаках на локальные установки SharePoint Server.

Ведомство подтвердило эксплуатацию трех уязвимостей: CVE-2026-32201, CVE-2026-45659 и CVE-2026-56164.

Они позволяли злоумышленникам получать несанкционированный доступ к SharePoint, выполнять код и развивать атаку, в том числе похищая криптографические ключи веб-приложений.

CISA также обратила внимание на CVE-2026-55040 и CVE-2026-58644. На момент выпуска предупреждения их эксплуатация не была подтверждена, но ошибки представляли потенциальную угрозу для незащищенных серверов.

Важная деталь: Microsoft выпустила исправления для известных уязвимостей, однако установка обновлений не устраняет автоматически последствия уже состоявшегося взлома.

Если преступники успели разместить веб-оболочку, создать дополнительные учетные записи или похитить ключи ASP.NET, доступ может сохраняться и после закрытия первоначальной уязвимости.

Именно поэтому расследование подобных инцидентов не ограничивается проверкой установленных обновлений. Требуется изучить состояние сервера и выяснить, какие действия выполнялись после проникновения.

Девять дней внутри корпоративной сети

В одном из подробно изученных инцидентов первые признаки вредоносной активности появились 22 июля 2026 года.

В этот день на сервере SharePoint обнаружили ASPX-скрипт, обеспечивавший удаленное выполнение команд.

24 июля преступники перешли к изучению корпоративной сети. Они проверяли учетные записи, текущие привилегии и доверительные отношения между доменами Active Directory.

Active Directory — служба каталогов Microsoft, которая используется для централизованного управления пользователями, компьютерами и правами доступа в организациях. Если злоумышленник получает повышенные привилегии в домене, он может распространять вредоносное ПО сразу на множество устройств.

В ходе разведки хакеры применяли стандартные средства Windows, включая команды whoami, net user и nltest. Они позволяют выяснить, от чьего имени выполняется процесс, какие пользователи существуют в домене и какие доверительные отношения настроены между доменами.

На двух серверах SharePoint появились исполняемые файлы ssvagent.exe, logger.exe и doexe.exe вместе с дополнительными DLL-библиотеками.

Исследователи связывают эти файлы с техникой DLL sideloading — загрузкой вредоносной библиотеки через легитимную программу.

При таком подходе преступники размещают специально подготовленную DLL рядом с исполняемым файлом, который может загрузить ее вместо ожидаемого компонента. В результате вредоносный код запускается внутри процесса обычного приложения.

27 июля один из зараженных серверов обратился к домену oastify.com, используемому инструментом Burp Collaborator. Он применяется специалистами по безопасности для проверки уязвимостей с помощью внешних сетевых обращений.

В данном случае обращение соответствовало попытке подтвердить, что внедренная команда действительно выполнилась на целевом сервере.

28 июля активность усилилась. Хакеры повторно проверяли возможность выполнять код через SharePoint и начали загружать дополнительные инструменты.

Для получения файлов использовалась штатная программа Windows Installer — msiexec.exe. Установочные пакеты скачивались с ресурсов Catbox и Wasabi.

Это легальные сервисы хранения и обмена файлами. Использование таких площадок затрудняет выявление атаки, поскольку обращения к ним не всегда выглядят подозрительно сами по себе.

В течение полутора часов злоумышленники запрашивали несколько различных установочных пакетов, что указывало на подготовку дополнительных компонентов для развития атаки.

Хакеры получили административные права на других компьютерах

К 28–29 июля атака вышла за пределы первоначально зараженных SharePoint-серверов.

Преступники начали добавлять доменную учетную запись SPSEPRDSetup в локальные группы администраторов на других компьютерах.

Название этой учетной записи напоминало обозначение служебного пользователя, связанного с установкой SharePoint. Исследователи считают, что такое имя могло использоваться для маскировки.

Получив дополнительные права, злоумышленники смогли выполнять команды на других устройствах корпоративной сети.

Для дальнейшей разведки они использовали NetExec — инструмент, который применяется при проверках защищенности Windows-сетей.

С его помощью можно изучать структуру Active Directory, проверять учетные данные и выполнять административные операции на удаленных компьютерах. В руках преступников те же возможности позволяют расширять доступ к инфраструктуре.

В исследованной атаке NetExec использовался для сбора сведений о домене, проверки учетных данных и удаленного выполнения команд.

Таким образом, за несколько дней Longlegs прошла путь от компрометации отдельного веб-сервера до управления дополнительными компьютерами корпоративного домена.

Для удаленного доступа использовали Visual Studio Code

Один из способов закрепления внутри сети оказался связан с Visual Studio Code — популярным редактором кода Microsoft.

На одном из компьютеров злоумышленники установили code-insiders.exe, исполняемый файл предварительной версии Visual Studio Code Insiders, и зарегистрировали его в качестве службы Windows.

Затем они воспользовались встроенной функцией VS Code Tunnels.

Она позволяет подключаться к удаленной среде разработки через инфраструктуру Microsoft без необходимости открывать входящие сетевые порты.

Для разработчиков это обычный инструмент удаленной работы. Однако в данном случае туннель использовался для сохранения доступа к зараженному компьютеру.

Такая схема помогает маскировать вредоносную активность. Исполняемый файл имеет цифровую подпись Microsoft, а сетевые соединения проходят через инфраструктуру известного поставщика программного обеспечения.

Само присутствие Visual Studio Code не является признаком заражения. Подозрения вызывают неожиданный запуск туннеля, регистрация неизвестной службы и использование редактора на серверах, где такая возможность не предусмотрена администраторами.

Warlock отключал защиту десятков компьютеров

Заключительный этап исследованной атаки начался рано утром 31 июля.

Хакеры стали распространять инструмент, предназначенный для отключения антивирусов и средств EDR — систем обнаружения и реагирования на угрозы на конечных устройствах.

На зараженных компьютерах программа запускалась под именем a.exe.

Для распространения использовались внутренние сетевые ресурсы Windows. Преступники копировали инструменты на другие компьютеры и запускали их удаленно.

В течение примерно двух часов выполнение программы было зарегистрировано как минимум на 40 дополнительных устройствах.

Вскоре после попыток отключения защиты на компьютерах начали появляться файлы шифровальщика Warlock.

Исследователи обнаружили два исполняемых файла — run.exe и rune.exe, а также текстовый документ с требованием выкупа how to restore your files.txt.

Эти файлы зафиксировали не менее чем на 33 устройствах.

При этом специалисты не установили, сколько компьютеров удалось зашифровать полностью. Наличие исполняемого файла на устройстве еще не означает, что шифрование всех доступных данных завершилось успешно.

Для отключения EDR применяли уязвимые драйверы

В других атаках Longlegs использовала технику BYOVD — Bring Your Own Vulnerable Driver, то есть запуск легитимного, но уязвимого драйвера.

В частности, исследователи обнаружили применение драйвера K7RKScan, связанного с антивирусным ПО K7 Security.

В нем была выявлена уязвимость CVE-2025-1055. Она позволяет пользователю с ограниченными правами отправлять специальные управляющие запросы к драйверу и воздействовать на процессы с более высокими привилегиями.

Драйвер работает на уровне ядра Windows, поэтому его ошибки безопасности могут использоваться для вмешательства в работу защитного ПО.

Преступники применяют такие компоненты для остановки антивирусных процессов и других средств защиты перед запуском шифровальщика.

Опасность заключается в том, что драйвер может иметь действительную цифровую подпись. При этом наличие подписи не означает отсутствия уязвимостей.

В подробно исследованном июльском инциденте специалисты не смогли определить конкретный драйвер, который мог использовать инструмент a.exe.

Применение K7RKScan подтверждено в других атаках Longlegs. Приписывать его использование именно июльскому проникновению оснований нет.

Шифровальщик распространялся через SYSVOL

Еще одной особенностью атаки стало использование SYSVOL — служебной папки Active Directory.

В ней хранятся групповые политики, сценарии входа пользователей и другие данные, необходимые для работы домена Windows.

SYSVOL автоматически синхронизируется между контроллерами домена. Содержимое папки также доступно компьютерам, которым необходимо получать групповые политики и другие настройки.

Longlegs разместила файлы Warlock в этой общей папке и использовала ее как внутренний источник распространения вредоносного ПО.

Это позволяло доставлять шифровальщик без отдельной загрузки с внешнего сервера на каждый компьютер.

Исследователи обнаружили, что на трех системах в передаче вредоносных файлов участвовал процесс dfsrs.exe, отвечающий за репликацию файлов между контроллерами домена.

Однако SYSVOL не копирует все свое содержимое автоматически на каждую рабочую станцию. Синхронизация происходит между контроллерами домена, а дальнейшее распространение файлов зависит от настроенных сценариев, групповых политик или отдельных команд.

В исследованной атаке преступники использовали доступность SYSVOL в сочетании с командами копирования и удаленного запуска.

В результате обычный механизм доменной инфраструктуры стал частью схемы распространения шифровальщика.

Этот прием особенно опасен после компрометации административных учетных записей. Если преступники получают возможность изменять содержимое доверенных ресурсов домена, они могут использовать их для доставки вредоносных программ на большое количество компьютеров.

При этом сами групповые политики и SYSVOL необходимы для нормальной работы Windows-сетей. Их использование в атаке не означает наличие уязвимости в механизме репликации.

Кто стоит за атаками Warlock

Исследователи Symantec связывают разработку и использование Warlock с группировкой Longlegs.

Ранее они обнаружили совпадения между ее действиями и активностью, которую другие специалисты отслеживали под обозначениями CL-CRI-1040, CamoFei и ChamelGang.

Microsoft относит Storm-2603 к злоумышленникам, предположительно действующим из Китая. Однако уверенность в такой оценке компания характеризовала как умеренную и не установила надежной связи группировки с другими известными китайскими объединениями.

Доказательств того, что атаки Warlock проводятся по поручению государственных структур Китая, в опубликованных материалах нет.

В предыдущих кампаниях операторы Warlock атаковали организации в США, Бразилии, Индии, России, Тайване и Японии.

Новая серия затронула преимущественно португало- и испаноязычные страны. Пока неизвестно, связан ли выбор целей с географическими интересами преступников или с наличием доступных для атаки серверов.

В аналитическом обзоре PolySwarm от 9 октября отмечается, что Longlegs сочетает специализированное вредоносное ПО с обычными административными инструментами и сервисами.

PowerShell используется для выполнения команд, NetExec — для работы с Active Directory, Visual Studio Code — для удаленного доступа, а файловые хранилища — для доставки дополнительных компонентов.

По отдельности многие из этих инструментов применяются в законной работе системных администраторов и разработчиков. Признаком атаки становится характер их использования, последовательность событий и появление подозрительных файлов.

Как защитить корпоративную сеть от Warlock

Основной риск сохраняется для организаций, которые используют локальные серверы SharePoint с недостаточной защитой или уже подвергались компрометации.

Администраторам необходимо проверить наличие актуальных обновлений, а также убедиться, что уязвимые серверы не доступны напрямую из интернета без необходимости.

Отдельного внимания требуют SharePoint Server 2016 и SharePoint Server 2019. Их расширенная поддержка завершилась в июле 2026 года. Организациям, продолжающим использовать эти версии, необходимо планировать переход на поддерживаемую платформу.

При обнаружении признаков проникновения одной установки обновления недостаточно. Нужно проверить наличие веб-оболочек, неизвестных служб и подозрительных учетных записей, а также выяснить, не были ли похищены ключи ASP.NET machineKey.

Microsoft рекомендует сменить эти ключи после устранения уязвимостей и перезапустить IIS — веб-сервер, обслуживающий SharePoint. При этом сначала важно удалить средства закрепления злоумышленников, иначе они могут снова получить доступ к обновленным ключам.

Дополнительно следует убедиться, что интеграция с Antimalware Scan Interface (AMSI) включена и настроена для проверки подозрительного содержимого запросов.

Еще одна необходимая мера — наблюдение за Active Directory. Неожиданное добавление пользователей в административные группы, появление неизвестных файлов в SYSVOL и запуск служб удаленного доступа могут указывать на развитие атаки.

Также стоит проверять попытки отключения EDR, загрузку уязвимых драйверов и массовое выполнение команд на компьютерах домена.

Специалисты BleepingComputer обращают внимание на то, что злоумышленники используют одновременно несколько способов сохранения доступа. Даже после удаления первоначальной веб-оболочки в сети могут оставаться дополнительные службы, учетные записи и средства удаленного управления.

Для предприятий критической инфраструктуры особое значение имеет разделение корпоративных систем и сетей промышленного управления. Компрометация офисных серверов не должна автоматически давать доступ к оборудованию, отвечающему за технологические процессы.

Что известно о последствиях

В опубликованных материалах подтверждены атаки как минимум на четыре организации, включая предприятие водоснабжения и оператора связи.

По одному из инцидентов исследователи восстановили действия преступников в течение девяти дней: от появления веб-оболочки на SharePoint-сервере до массового распространения Warlock.

За это время злоумышленники изучили структуру домена, получили дополнительные административные права, создали способы удаленного доступа, попытались отключить средства защиты и распространили файлы шифровальщика на десятки устройств.

Точная стоимость ущерба, количество зашифрованных серверов и сумма требования о выкупе не раскрыты. Также неизвестно, удалось ли пострадавшим организациям полностью восстановить инфраструктуру.

Нет и подтверждений, что атаки привели к физическим нарушениям работы водоснабжения или телекоммуникационного оборудования.

Вопросы и ответы (FAQ)

Что такое Warlock ransomware?

Warlock — программа-вымогатель, появившаяся в июне 2025 года. Ее используют для шифрования файлов организаций и последующего требования выкупа. Разработку и распространение Warlock исследователи связывают с группировкой Longlegs, известной Microsoft как Storm-2603.

Какие организации пострадали от атак Warlock?

В последних кампаниях подтверждены атаки на предприятие водоснабжения, оператора связи, региональный орган власти и университет. Их названия и точное местоположение не раскрываются.

Какие уязвимости SharePoint использует Warlock?

Группировка известна эксплуатацией уязвимостей ToolShell: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 и CVE-2025-53771. В 2026 году обнаружили и новые уязвимости SharePoint. Конкретную ошибку, использованную при июльском проникновении, установить не удалось.

Сколько компьютеров пострадало в одной из атак?

Инструмент отключения защиты запускался как минимум на 40 дополнительных компьютерах в течение примерно двух часов. Файлы шифровальщика Warlock обнаружили не менее чем на 33 устройствах. Точное количество зашифрованных систем не раскрыто.

Как хакеры использовали Active Directory?

Преступники получили расширенные права в корпоративном домене, добавляли учетную запись в группы локальных администраторов и использовали SYSVOL для хранения и распространения вредоносных файлов.

Что такое BYOVD?

BYOVD — техника, при которой злоумышленники используют легитимный драйвер с известной уязвимостью. Ошибка в драйвере позволяет выполнять операции с повышенными привилегиями, в том числе мешать работе отдельных защитных процессов.

Связана ли группировка Longlegs с правительством Китая?

Исследователи связывают Longlegs с Китаем, но публичных доказательств государственной поддержки группировки нет. Microsoft оценивает ее происхождение с умеренной уверенностью и не установила надежной связи с другими известными китайскими группами.

Затронут ли SharePoint Online в Microsoft 365?

Уязвимости ToolShell, которые использовала Storm-2603, относятся к локальным установкам SharePoint Server. Облачная версия SharePoint Online в Microsoft 365 этими уязвимостями не затронута.

Достаточно ли установить обновления SharePoint для защиты от Warlock?

Обновления устраняют известные уязвимости, но не удаляют автоматически последствия состоявшегося проникновения. Если сервер был скомпрометирован, необходима проверка веб-оболочек, учетных записей, криптографических ключей и инфраструктуры домена.

Привели ли атаки к отключению воды или связи?

Таких подтверждений в опубликованных исследованиях нет. Известно о проникновении в корпоративные сети и распространении шифровальщика, но не о нарушениях работы промышленного оборудования или телекоммуникационных услуг.