Warlock勒索软件盯上SharePoint

10月20日，Symantec发布最新报告指出，Warlock勒索软件团伙（微软追踪为Storm-2603，CrowdStrike称为Gold Salem）仍在利用未修补的本地部署SharePoint服务器作为入侵突破口。过去两个月内，该团伙已攻破葡萄牙语和西班牙语地区的4家组织，包括自来水公司、电信运营商、地方政府机构及大学，均涉及关键基础设施或公共部门。

值得注意的是，该团伙将勒索软件与间谍活动结合，且在一年多时间内保持几乎不变的攻击手法，却依然频繁得手。

攻击溯源至2025年7月曝光的SharePoint零日漏洞ToolShell。当时两周内超400台服务器沦陷，Storm-2603借此确立了其标志性攻击路径：以SharePoint为跳板而非最终目标。

具体攻击流程如下：

• 在SharePoint服务器部署Web Shell；
• 窃取ASP.NET machine keys，伪造可信签名请求，在应用池权限下执行任意代码；
• 通过DLL侧加载及正规云存储服务拉取载荷，逐步深入内网。

该团伙主要采用以下三种手段规避安全检测：

1. BYOVD技术关闭杀软
部署存在漏洞的合法驱动K7RKScan.sys（CVE-2025-1055）致瘫安全软件。在某次入侵中，该工具在2小时内被推送至至少40台主机，随后勒索载荷在至少33台机器上落地。

2. 利用SYSVOL共享分发勒索软件
攻击者将勒索载荷放入域控的SYSVOL共享目录，利用Windows域控自动复制机制实现全域分发，替代传统的手动横向移动。

3. 伪装正常开发流量
利用VS Code Insiders的tunnel功能建立远程控制通道。由于使用微软签名的二进制文件且流量经过vscode.dev基础设施，多数安全设备将其视为正常的开发人员流量，极大增加了检测难度。

针对本地部署SharePoint的环境，建议立即执行以下操作：

• 补丁修复：确认ToolShell及相关SharePoint漏洞（如CVE-2026-32201等）已全部修复；
• 文件排查：检查SharePoint LAYOUTS目录下是否存在异常ASPX文件（IOC示例：layout2sp.aspx、spinstall*.aspx）；
• 域控检查：排查SYSVOL目录中是否包含run.exe、rune.exe或"how to restore your files.txt"等勒索相关文件；
• 驱动审计：在非K7杀软安装路径下搜索K7RKScan.sys，若存在则极可能已中招；
• 流量监控：留意SharePoint服务器发起的vscode.dev隧道连接，以及指向litter.catbox.moe、xn8xyt-drop.s3.wasabisys.com的外联请求；
• 策略加固：部署微软易受攻击驱动阻止列表，阻断BYOVD攻击路径。

此次攻击的核心警示在于攻击者对“信任链”的系统性滥用，包括微软签名驱动、VS Code、SYSVOL机制及正规云存储。除了及时打补丁外，企业应对“服务器为何需要VS Code隧道”等异常行为保持敏感，这比单纯增加检测产品更为有效。

来源：Symantec（Broadcom）威胁情报