SharePoint nel Mirino Warlock: ransomware lampo su infrastrutture critiche, sfruttando server on‑premise non aggiornati

Il gruppo ransomware Warlock continua a sfruttare vulnerabilità di Microsoft SharePoint per ottenere accesso iniziale alle reti e distribuire ransomware su larga scala. Le campagne osservate puntano in particolare organizzazioni in paesi di lingua portoghese e spagnola, con vittime in Europa, Africa e America Latina.

Tra i bersagli figurano infrastrutture critiche come utility idriche e operatori di telecomunicazioni, oltre a enti governativi e università: un segnale chiaro di quanto i server SharePoint on-premise non aggiornati restino un obiettivo ad alto valore.

La catena di attacco descritta evidenzia una combinazione di tecniche collaudate e mosse mirate a ridurre la visibilità. Dopo lo sfruttamento delle falle SharePoint, gli attaccanti rilasciano web shell compatibili con più versioni del prodotto. Lo scopo della web shell è recuperare le chiavi macchina ASP.NET della farm SharePoint, utili a firmare payload apparentemente legittimi e ottenere remote code execution all’interno del processo applicativo di SharePoint. Questo passaggio abilita l’esecuzione di comandi e l’installazione di ulteriori componenti malevoli con privilegi adeguati.

Una volta dentro la rete, Warlock amplia l’accesso usando strumenti living off the land per ricognizione e movimento laterale. In alcune intrusioni è stato osservato l’uso della funzione tunnel integrata in Visual Studio Code per stabilire connessioni remote persistenti verso i sistemi compromessi, tecnica utile per aggirare controlli tradizionali e mantenere un canale operativo stabile.

Un elemento centrale è la disattivazione delle difese. Il gruppo impiega la tecnica BYOVD (bring your own vulnerable driver), caricando un driver legittimo ma vulnerabile per terminare o neutralizzare software di sicurezza. In parallelo ricorre anche al DLL sideloading per eseguire codice malevolo in memoria e ridurre le tracce. Per scaricare i payload successivi vengono usati servizi cloud di file sharing e storage, scelta che può confondersi con traffico legittimo.

Per distribuire il ransomware in modo capillare, Warlock prepara i payload nella condivisione SYSVOL del dominio, sfruttando la replica standard per propagare i file a molte macchine in poco tempo. Questo approccio rende l’impatto rapido e difficile da contenere se la segmentazione e il monitoraggio di Active Directory non sono adeguati.