Longlegs атаковал организации с помощью шифровальщика Warlock
Связанная с Китаем группировка Longlegs, также известная под псевдонимом Storm-2603 и ассоциируемая с CamoFei, ChamelGang и CL-CRI-1040, использовала шифровальщик Warlock как минимум против четырёх организаций в странах Европы, Африки и Латинской Америки, где распространены португальский и испанский языки. Среди недавних жертв были коммунальное предприятие по водоснабжению, телекоммуникационный оператор, региональный государственный орган и университет. Группировка продолжает целенаправленно атаковать локально развёрнутые серверы Microsoft SharePoint.
Эксплуатация серверов SharePoint и разведка
Для атак на SharePoint Longlegs использует уязвимости ToolShell CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 и CVE-2025-53771, а также другие уязвимости платформы. Получив доступ, группировка устанавливает веб-шеллы в каталоги LAYOUTS и извлекает ключи машины ASP.NET. С их помощью злоумышленники подделывают подписанные полезные нагрузки __VIEWSTATE, которые выполняют код в рамках пула приложений SharePoint.
Longlegs применяет загрузку вредоносного кода в память через подмену DLL и получает дополнительные полезные нагрузки из облачных хранилищ и сервисов файлообмена. Для разведки группировка запускает команды whoami, net user /domain и nltest /domain_trusts. Кроме того, она использует NetExec для перечисления объектов Active Directory, подбора учётных данных методом перебора и удалённого выполнения команд.
Закрепление и развёртывание шифровальщика
Для закрепления и скрытого доступа Longlegs устанавливает code-insiders.exe от Visual Studio Code в качестве службы и злоупотребляет функцией туннелирования. На нескольких системах группировка также создавала маскировочные учётные записи или добавляла учётную запись SPSEPRDSetup в локальные группы администраторов.
Перед развёртыванием Warlock Longlegs использует технику загрузки собственного уязвимого драйвера. Среди таких драйверов был подписанный K7RKScan, уязвимый к CVE-2025-1055. Драйвер применялся для завершения защищённых процессов средств антивирусной защиты и обнаружения угроз на конечных точках на уровне ядра.
Warlock распространяется через общий ресурс домена SYSVOL, откуда шифровальщик может распространяться по контроллерам домена и достигать множества узлов. В одной из атак инструменты для отключения средств защиты запустили как минимум на 40 системах примерно за два часа. Затем бинарные файлы Warlock с именами run.exe и rune.exe обнаружили как минимум на 33 узлах.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
