Warlock-Ransomware: Chinesische Hacker nutzen SharePoint-Schwachstellen

LONDON (IT BOLTWISE) – Eine chinesische Hackergruppe nutzt Schwachstellen in Microsoft SharePoint-Servern, um die Warlock-Ransomware zu verbreiten.

Eine chinesische Hackergruppe hat begonnen, die Warlock-Ransomware auf Microsoft SharePoint-Servern zu verbreiten, die für Angriffe auf die kürzlich gepatchte ToolShell Zero-Day-Exploit-Kette anfällig sind. Die Sicherheitsorganisation Shadowserver überwacht derzeit über 420 SharePoint-Server, die online exponiert und weiterhin anfällig für diese Angriffe sind. Microsoft hat in der Vergangenheit beobachtet, dass dieser Bedrohungsakteur Warlock und Lockbit-Ransomware einsetzt, kann jedoch derzeit die Ziele des Akteurs nicht sicher einschätzen. Seit dem 18. Juli 2025 hat Microsoft festgestellt, dass Storm-2603 Ransomware über diese Schwachstellen einsetzt. Nach dem Eindringen in die Netzwerke der Opfer verwenden die Betreiber von Storm-2603 das Hacking-Tool Mimikatz, um Klartext-Anmeldeinformationen aus dem LSASS-Speicher zu extrahieren. Anschließend bewegen sie sich seitlich mit PsExec und dem Impacket-Toolkit, führen Befehle über Windows Management Instrumentation (WMI) aus und ändern Gruppenrichtlinienobjekte (GPOs), um Warlock-Ransomware auf kompromittierten Systemen zu verbreiten. Microsoft warnt Kunden, die Sicherheitsupdates für SharePoint Server vor Ort sofort anzuwenden und die detaillierten Minderungshinweise in ihrem Blog zu befolgen. Microsoft Threat Intelligence Forscher haben auch die chinesischen, staatlich unterstützten Hacking-Gruppen Linen Typhoon und Violet Typhoon mit diesen Angriffen in Verbindung gebracht, Tage nachdem das niederländische Cybersicherheitsunternehmen Eye Security erstmals Zero-Day-Angriffe entdeckt hatte, die die Schwachstellen CVE-2025-49706 und CVE-2025-49704 ausnutzen. Seitdem hat Eye Security CTO Piet Kerkhofs gegenüber BleepingComputer erklärt, dass die Anzahl der kompromittierten Entitäten viel größer ist, wobei die meisten von ihnen bereits seit einiger Zeit kompromittiert sind. Laut den Statistiken des Cybersicherheitsunternehmens haben die Angreifer bisher mindestens 400 Server mit Malware infiziert und 148 Organisationen weltweit kompromittiert. CISA hat auch die Remote-Code-Ausführungs-Schwachstelle CVE-2025-53770, die Teil derselben ToolShell-Exploit-Kette ist, in ihren Katalog der in freier Wildbahn ausgenutzten Schwachstellen aufgenommen und US-Bundesbehörden angewiesen, ihre Systeme innerhalb eines Tages zu sichern. Anfang dieser Woche bestätigte das Energieministerium, dass die National Nuclear Security Administration (die US-Atomwaffenbehörde) bei den laufenden Microsoft SharePoint-Angriffen kompromittiert wurde, obwohl die Behörde noch keine Beweise dafür gefunden hat, dass sensible oder geheime Informationen bei dem Vorfall kompromittiert wurden. Bloomberg berichtete, dass die Angreifer auch in Systeme des US-Bildungsministeriums, der Generalversammlung von Rhode Island und des Finanzministeriums von Florida sowie in Netzwerke europäischer und nahöstlicher Regierungen eingedrungen sind. Die Washington Post berichtete auch, dass das National Institutes of Health (die US-amerikanische medizinische Forschungsbehörde) ebenfalls kompromittiert wurde.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!