LONDON (IT BOLTWISE) – Der mutmaßlich China-verbundene Threat Actor Warlock nutzt offenbar SharePoint-Serverlücken, um Security-Tools auf kompromittierten Systemen gezielt zu deaktivieren. Laut Symantec und Carbon Black Threat Hunter wurden dabei sowohl ältere als auch neuere Schwachstellen in On-Premises-Setups ausgenutzt. Besonders brisant ist die Vorgehensweise über Webshells und das Abschöpfen von ASP.NET-Machine-Keys, um signierte Payloads für den Remote-Zugriff zu ermöglichen.
Angreifer wie Warlock zeigen in den laufenden Kampagnen, wie schnell aus einer scheinbar „bekannten“ Schwachstelle ein kompletter Angriff bis zur Ransomware werden kann. Laut Symantec und Carbon Black Threat Hunter Team richtet sich die Aktivität gegen Organisationen in portugiesisch- und spanischsprachigen Ländern und betrifft dabei laut den Beobachtungen auch kritische Infrastruktur sowie Behörden und Bildungseinrichtungen. Im Kern geht es um Microsoft-SharePoint-Server in On-Premises-Umgebungen, die nicht gepatcht oder anderweitig abgesichert sind, obwohl die damit verbundenen Risiken seit Monaten dokumentiert sind.
Technisch setzt Warlock auf das Zusammenspiel mehrerer Stufen: Zuerst wird über SharePoint-Vulnerabilitäten ein Einstieg hergestellt, danach landen Webshells auf dem System. Diese Webshells zielen nicht nur auf eine einzelne Komponente, sondern sollen laut den Forschern mehrere Versionen von SharePoint adressieren können. Der entscheidende nächste Schritt besteht im Zugriff auf die ASP.NET-Machine-Keys des SharePoint-Farmsystems; aus diesen Schlüsseln lassen sich valid signierte Komponenten ableiten, mit denen dann eine Remote-Code-Ausführung innerhalb des SharePoint Application Pools erreicht werden soll. Damit erhält das Angriffsteam Kontrolle über eine Umgebung, die in vielen Unternehmen ohnehin stark integriert ist und häufig weitreichende Berechtigungen im Domänenkontext besitzt.
Für den praktischen Betrieb ist besonders relevant, wie Warlock Sicherheitsfunktionen aushebelt, bevor die eigentliche Verschlüsselung oder das Ausrollen der Schadsoftware erfolgt. Laut Symantec und Carbon Black werden neben Webshells auch Bring-Your-Own-Vulnerable-Driver-Mechanismen verwendet, konkret mit dem K7RKScan.sys (CVE-2025-1055). Der Angriff nutzt dabei einen Treiber, der als „legitim, aber verwundbar“ beschrieben wird, um Security-Software auf kompromittierten Hosts zu deaktivieren. Zusätzlich setzen die Akteure auf DLL-Sideloading, um bösartigen Code in den Speicher zu laden, und auf Living-off-the-Land-Methoden, etwa um Reconnaissance durchzuführen und Kommandos auf den Zielsystemen auszuführen. Auch die Nutzung von Velociraptor als Teil der Command-and-Control-Infrastruktur wird genannt, ebenso wie das Anlegen von VS-Code-Tunneln, um Verbindungen zu infizierten Systemen zu erleichtern.
Bei der „Verteillogik“ fällt vor allem die Skalierung über Domänenstrukturen auf. In einem beschriebenen Intrusionsszenario gegen einen Betreiber kritischer Infrastruktur wurde demnach innerhalb von etwa zwei Stunden ein Tool auf mindestens 40 Hosts verteilt, dessen Zweck darin liegt, Security-Software zu stören. Danach soll Warlock weitere Komponenten auf mindestens 33 Hosts platziert haben, indem die Schadsoftware in das SYSVOL-Verzeichnis der Domäne geschoben und über die normale Domänenreplikation verteilt wurde. SYSVOL ist als Bestandteil der Active-Directory-Replikation dafür gebaut, Änderungen zuverlässig im gesamten Domänenverbund zu replizieren; genau diese Eigenschaft wird hier missbraucht, um Ransomware-Logik schneller und koordinierter zu verbreiten, als es über einzelne manuelle Zugriffe möglich wäre.
Die Kampagne wirkt dabei nicht wie ein Einmalereignis, sondern eher wie eine fortlaufende Taktiksammlung mit Wiederverwendung. Laut Symantec teilt Warlock Überlappungen mit älteren Aktivitätsclustern wie CL-CRI-1040, CamoFei und ChamelGang. Außerdem wird die Gruppe mit dem früheren Kompromiss von SmarterTools in Verbindung gebracht, der über die Ausnutzung einer ungesicherten SmarterMail-Instanz erfolgt sein soll. Ebenso wird erwähnt, dass Warlock im Kontext von ToolShell-SharePoint-Schwachstellen zur Platzierung von Ransomware an Bekanntheit gewann. Gerade das Zusammenspiel aus wiederkehrenden technischen Bausteinen und zielgerichteter Anpassung erklärt, warum solche Kampagnen selbst über einen Zeitraum von über einem Jahr weiter auftreten.
Unternehmen sollten aus den genannten Details vor allem zwei operative Leitplanken ableiten. Erstens: On-Premises-SharePoint-Server müssen als Risiko-Komponente behandelt werden, auch wenn die Umgebung „interna“ wirkt und der Zugriff ohnehin über Organisationseigene Netzsegmente läuft. Wenn Webshells abgelegt werden und Schlüsselmaterial wie ASP.NET-Machine-Keys angreifbar ist, reicht reine Netzwerksegmentierung oft nicht mehr aus. Zweitens: Sicherheitssoftware und Detektionslogik dürfen nicht nur „an“ sein, sondern müssen gegen Deaktivierungstechniken abgesichert werden; der beschriebene BYOVD-Ansatz mit K7RKScan.sys macht deutlich, dass auch legitime Treiberpfade und Speicherladeverfahren zur Umgehung genutzt werden können. In Summe zeigt der Fall, dass KI-gestützte Erkennung zwar hilfreich sein kann, aber die grundlegenden Gegenmaßnahmen wie Patch-Management, Härtung der SharePoint-Installation und die Begrenzung von Domänenberechtigungen meist den Ausschlag geben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Warlock und SharePoint-Lücken: Security-Tools aushebeln und Ransomware streuen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Warlock und SharePoint-Lücken: Security-Tools aushebeln und Ransomware streuen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Warlock und SharePoint-Lücken: Security-Tools aushebeln und Ransomware streuen« bei Google Deutschland suchen, bei Bing oder Google News!