Inteligência de ameaças
Warlock volta a explorar SharePoint sem correção e mira países de língua portuguesa e espanhola
A Symantec e a Carbon Black relatam que o grupo por trás do ransomware Warlock atingiu ao menos quatro organizações em dois meses, entre elas uma empresa de água e uma operadora de telecomunicações, explorando servidores SharePoint sem correção. Veja como o ataque funciona e o que verificar.
O grupo por trás do ransomware Warlock voltou a explorar servidores Microsoft SharePoint sem correção e passou a mirar organizações em países de língua portuguesa e espanhola, segundo um relatório da equipe Threat Hunter da Symantec e da Carbon Black divulgado no início de outubro de 2026. Em dois meses, o grupo atingiu ao menos quatro organizações: uma empresa de água, uma operadora de telecomunicações, um órgão de governo regional e uma universidade, na Europa, na África e na América Latina.
O que se sabe
| item | detalhe |
|---|---|
| Grupo | Longlegs para a Symantec, Storm-2603 para a Microsoft; associado a clusters de origem chinesa mais antigos, como CL-CRI-1040, CamoFei e ChamelGang |
| Vítimas recentes | pelo menos quatro: empresa de água, operadora de telecomunicações, governo regional e universidade |
| Países | os relatórios não citam nomes; falam em países de língua portuguesa e espanhola na Europa, na África e na América Latina |
| Acesso inicial | falhas do SharePoint Server local, com webshell instalada no diretório LAYOUTS |
| Falhas citadas | cadeia ToolShell de 2025 (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 e CVE-2025-53771, segundo o BleepingComputer); o SecurityWeek lista também seis CVEs de 2026 |
| Alerta oficial | a CISA publicou em 14 de julho de 2026 um alerta sobre novas explorações do SharePoint, segundo o The Record |
A Symantec descreve uma intrusão que começou em 22 de julho contra um operador de infraestrutura crítica. Os atacantes roubaram chaves de máquina do ASP.NET para forjar cargas assinadas e executar código, e depois desativaram o software de segurança em ao menos 40 sistemas, usando um driver vulnerável assinado (K7RKScan) em técnica conhecida como bring your own vulnerable driver. O Warlock foi executado em ao menos 33 sistemas. O arquivo do ransomware foi guardado no compartilhamento SYSVOL, replicado para todos os controladores de domínio, e entregue pelo próprio serviço de replicação do Windows, o que permitiu criptografar em escala sem ferramenta externa de distribuição.
Outros detalhes do relatório: uma conta de domínio com nome que imita o SharePoint (SPSEPRDSetup) foi criada e colocada em grupos de administradores locais; e o túnel do Visual Studio Code (code-insiders.exe) foi instalado como serviço para acesso remoto discreto.
A Symantec afirma que não consegue dizer se o grupo ainda depende só do ToolShell ou também explora falhas mais novas. Segundo os pesquisadores, o foco em países lusófonos e hispânicos pode ser oportunista, guiado por servidores expostos e vulneráveis, ou resultado de uma lista-alvo.
Por que importa para instituições financeiras
O Brasil não aparece como vítima nesta campanha, mas já havia aparecido entre os países atingidos por ataques anteriores com o Warlock, segundo o The Record e o Security Affairs. O que torna o caso relevante é o caminho: o SharePoint local é comum em instituições financeiras e órgãos públicos, costuma ficar exposto para acesso de parceiros e filiais, e uma vez comprometido leva ao domínio inteiro.
O detalhe mais importante é que o ataque dá certo onde há correção atrasada, não onde há falha nova. As falhas do ToolShell são de 2025. A pergunta que a auditoria vai fazer não é se a instituição corrigiu o SharePoint, e sim se alguém verificou, depois da correção, que o servidor não foi comprometido antes dela.
O que fazer agora
- Levante todos os servidores SharePoint locais e quais estão acessíveis pela internet. Em ambientes de nuvem (SharePoint Online), a campanha descrita não se aplica.
- Confira o alerta da CISA de julho de 2026 e aplique as correções e mitigações, incluindo as da cadeia ToolShell de 2025.
- Gire as chaves de máquina do ASP.NET do servidor e reinicie o serviço depois da correção. O ataque rouba essas chaves, e a correção sozinha não invalida chaves já roubadas. Esta é uma recomendação da Indene a partir do relatório; confirme o procedimento no guia da Microsoft.
- Procure sinais de comprometimento: arquivos novos no diretório LAYOUTS do SharePoint, a conta SPSEPRDSetup, o serviço
code-insiders.exe, arquivos estranhos no SYSVOL e o driver K7RKScan. - Ative a proteção contra adulteração do EDR e bloqueie drivers vulneráveis conhecidos, para dificultar a etapa que desliga a defesa.
- Registre a verificação, com data e responsável, como evidência.
Referências
- Warlock ransomware breaches SharePoint in water, telecom operator attacks: BleepingComputer, 2 de outubro de 2026
- Warlock ransomware used in critical infrastructure attacks: The Record, 2 de outubro de 2026
- Warlock expands SharePoint exploitation in critical infrastructure attacks: SecurityWeek, 2 de outubro de 2026
- Warlock Ransomware Still Exploits Year-Old SharePoint Flaws to Hit Critical Infrastructure: Security Affairs, 4 de outubro de 2026