El grupo de ransomware Warlock, vinculado a China, atacó a una empresa de suministro de agua, un proveedor de telecomunicaciones, un organismo gubernamental regional y una universidad, aprovechando vulnerabilidades de SharePoint para obtener acceso inicial.
Durante los últimos dos meses, este grupo de ciberdelincuentes parece haberse centrado en países de Europa, África y Latinoamérica donde se habla portugués y español.
El grupo surgió en junio de 2025 y alcanzó notoriedad un mes después tras explotar una serie de vulnerabilidades de día cero en Microsoft SharePoint conocidas como ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771).
En agosto, Microsoft detectó que los grupos de hackers Linen Typhoon y Violet Typhoon, respaldados por estados, utilizaban exploits de ToolShell en sus ataques, junto con un grupo de ransomware identificado como Storm-2603. Desactivan un programa anti-EDR en 40 hosts
La empresa de ciberseguridad Symantec identifica al mismo actor como Longlegs y le atribuye el desarrollo del ransomware Warlock.
Según los investigadores, en una intrusión que comenzó el 22 de julio, el atacante desplegó una herramienta que deshabilitó el software de protección en "al menos 40 hosts en aproximadamente dos horas". Posteriormente, lanzó el ransomware Warlock en al menos 33 hosts.
Tras obtener acceso, generalmente explotando vulnerabilidades en implementaciones locales de SharePoint, el atacante instala un shell web diseñado para funcionar en múltiples versiones de SharePoint.
Los investigadores de Symantec y Carbon Black afirman que, en algunos ataques atribuidos a Longlegs, se desplegó una herramienta para desactivar antivirus/EDR mediante la técnica de "traiga su propio controlador vulnerable" (BYOVD), utilizando un controlador K7RKScan firmado y vulnerable a CVE-2025-1055.
El análisis de la intrusión del 22 de julio reveló que, dos días después de obtener el acceso inicial, el atacante llevó a cabo actividades de reconocimiento y eliminó lo que parecían ser elementos de preparación para la intrusión.
Se ha revelado una cadena de vulnerabilidades críticas en Splunk Enterprise que permite a atacantes no autenticados lograr la ejecución remota de código (RCE) a...
Leer artículo →Un nuevo kit de herramientas de código abierto para la búsqueda de vulnerabilidades (bug bounty) llamado BugHunter, desarrollado sobre Claude Code de Anthropic...
Leer artículo →Un nuevo ataque de «agentjacking» secuestra los agentes de programación de IA y ejecuta de forma silenciosa código controlado por el atacante en los equipos de...
Leer artículo →