Inteligência de ameaças
Warlock vuelve a explotar SharePoint sin parches y apunta a países de habla portuguesa y española
Symantec y Carbon Black informan que el grupo detrás del ransomware Warlock ha afectado al menos a cuatro organizaciones en dos meses, incluyendo una empresa de agua y un operador de telecomunicaciones, explotando servidores SharePoint sin parches. Vea cómo funciona el ataque y qué verificar.
El grupo detrás del ransomware Warlock ha vuelto a explotar servidores Microsoft SharePoint sin parches y ha comenzado a apuntar a organizaciones en países de habla portuguesa y española, según un informe del equipo Threat Hunter de Symantec y Carbon Black publicado a principios de octubre de 2026. En dos meses, el grupo afectó al menos a cuatro organizaciones: una empresa de agua, un operador de telecomunicaciones, un organismo gubernamental regional y una universidad, en Europa, África y América Latina.
Lo que se sabe
| ítem | detalle |
|---|---|
| Grupo | Longlegs para Symantec, Storm-2603 para Microsoft; asociado con clusters de origen chino más antiguos, como CL-CRI-1040, CamoFei y ChamelGang |
| Víctimas recientes | al menos cuatro: empresa de agua, operador de telecomunicaciones, gobierno regional y universidad |
| Países | los informes no mencionan nombres; hablan de países de habla portuguesa y española en Europa, África y América Latina |
| Acceso inicial | fallas del SharePoint Server local, con webshell instalada en el directorio LAYOUTS |
| Fallas citadas | cadena ToolShell de 2025 (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771, según BleepingComputer); SecurityWeek también enumera seis CVEs de 2026 |
| Alerta oficial | la CISA publicó el 14 de julio de 2026 una alerta sobre nuevas explotaciones de SharePoint, según The Record |
Symantec describe una intrusión que comenzó el 22 de julio contra un operador de infraestructura crítica. Los atacantes robaron claves de máquina de ASP.NET para falsificar cargas firmadas y ejecutar código, y luego deshabilitaron el software de seguridad en al menos 40 sistemas, utilizando un controlador vulnerable firmado (K7RKScan) en una técnica conocida como bring your own vulnerable driver. Warlock se ejecutó en al menos 33 sistemas. El archivo del ransomware se guardó en el recurso compartido SYSVOL, se replicó en todos los controladores de dominio y se entregó a través del propio servicio de replicación de Windows, lo que permitió cifrar a escala sin una herramienta de distribución externa.
Otros detalles del informe: se creó una cuenta de dominio con un nombre que imita a SharePoint (SPSEPRDSetup) y se colocó en grupos de administradores locales; y el túnel de Visual Studio Code (code-insiders.exe) se instaló como servicio para un acceso remoto discreto.
Symantec afirma que no puede decir si el grupo todavía depende solo de ToolShell o también explota fallas más nuevas. Según los investigadores, el enfoque en países de habla portuguesa y española puede ser oportunista, guiado por servidores expuestos y vulnerables, o el resultado de una lista de objetivos.
Por qué es importante para las instituciones financieras
Brasil no aparece como víctima en esta campaña, pero ya había aparecido entre los países afectados por ataques anteriores con Warlock, según The Record y Security Affairs. Lo que hace que el caso sea relevante es el camino: el SharePoint local es común en instituciones financieras y organismos públicos, suele estar expuesto para el acceso de socios y sucursales, y una vez comprometido, lleva a todo el dominio.
El detalle más importante es que el ataque tiene éxito donde hay un parcheo tardío, no donde hay una nueva falla. Las fallas de ToolShell son de 2025. La pregunta que hará la auditoría no es si la institución parcheó SharePoint, sino si alguien verificó, después del parcheo, que el servidor no fue comprometido antes de este.
Qué hacer ahora
- Levante todos los servidores SharePoint locales y cuáles son accesibles desde internet. En entornos de nube (SharePoint Online), la campaña descrita no se aplica.
- Consulte la alerta de la CISA de julio de 2026 y aplique las correcciones y mitigaciones, incluidas las de la cadena ToolShell de 2025.
- Rote las claves de máquina de ASP.NET del servidor y reinicie el servicio después de la corrección. El ataque roba estas claves, y la corrección por sí sola no invalida las claves ya robadas. Esta es una recomendación de Indene a partir del informe; confirme el procedimiento en la guía de Microsoft.
- Busque señales de compromiso: archivos nuevos en el directorio LAYOUTS de SharePoint, la cuenta SPSEPRDSetup, el servicio
code-insiders.exe, archivos extraños en SYSVOL y el controlador K7RKScan. - Active la protección contra manipulaciones de EDR y bloquee los controladores vulnerables conocidos, para dificultar la etapa que desactiva la defensa.
- Registre la verificación, con fecha y responsable, como evidencia.
Referencias
- Warlock ransomware breaches SharePoint in water, telecom operator attacks: BleepingComputer, 2 de octubre de 2026
- Warlock ransomware used in critical infrastructure attacks: The Record, 2 de octubre de 2026
- Warlock expands SharePoint exploitation in critical infrastructure attacks: SecurityWeek, 2 de octubre de 2026
- Warlock Ransomware Still Exploits Year-Old SharePoint Flaws to Hit Critical Infrastructure: Security Affairs, 4 de octubre de 2026