Warlock勒索软件盯上SharePoint

安世加

2026年10月20日 18:00
上海

去阅读

新闻

News Today

10月20日，Symantec发布最新报告，Warlock勒索软件团伙仍在利用未打补丁的本地部署SharePoint服务器作为突破口。过去两个月，这个团伙（也就是微软追踪的Storm-2603、CrowdStrike口中的Gold Salem）至少打穿了4家葡语和西语国家的组织——一家自来水公司、一家电信运营商、一个地方政府机构、一所大学，全部是关键基础设施或公共部门。

这个组合值得警惕的地方在于：勒索软件和间谍活动由同一拨人操作，手法在一年多时间里几乎没有变过，却依然屡屡得手。

故事要从2025年7月说起。当时代号ToolShell的SharePoint零日漏洞被曝光，两周内超过400台服务器沦陷。Storm-2603就是当时疯狂蹭车利用的团伙之一，并且就此发展出了自己的\"招牌路线\"：入侵SharePoint不是目的，而是跳板。

具体链条是这样的：先在SharePoint服务器上落一个web shell，然后翻出ASP.NET machine keys——拿到这组密钥，攻击者就能伪造 SharePoint 认为可信的签名请求，直接在应用池权限下执行任意代码。接下来DLL侧加载、从正规云存储服务拉取载荷，一路向内网走。

第一招是BYOVD关杀软。攻击者部署一个有漏洞的合法驱动 K7RKScan.sys（CVE-2025-1055），用来致瘫安全软件。在一次入侵中，这个工具在约2小时内被推到了至少40台主机上——杀软被干掉之后，勒索载荷才登场，落在至少33台机器上。

第二招是借道SYSVOL传播。他们不一台一台去加密，而是把勒索载荷放进域的SYSVOL共享目录——Windows域控本来就会自动把这个目录复制到全域。等于让企业自己的域复制机制替勒索软件做分发。

再加上用 VS Code Insiders 的 tunnel 功能做远程控制通道——微软签名的二进制、流量走微软自家的 vscode.dev 基础设施，在大多数安全设备眼里这就是\"开发人员的正常流量\"。整套攻击几乎没有自研恶意工具，全靠正规软件和系统自带功能，检测难度可想而知。

如果你环境里有本地部署的SharePoint，几件事现在就可以做：

• 确认 ToolShell 及相关 SharePoint 漏洞（CVE-2026-32201 等）已全部修复——补丁没打全的SharePoint，一年后依然是别人的入口

• 检查 SharePoint LAYOUTS 目录有没有异常 ASPX 文件（layout2sp.aspx、spinstall\*.aspx 是已知 IOC）

• 查 SYSVOL 里有没有 run.exe、rune.exe 或\"how to restore your files.txt\"

• 驱动清单里搜 K7RKScan.sys——出现在非 K7 杀软安装路径上，基本可以断定中招

• 流量日志里留意 SharePoint 服务器发起的 vscode.dev 隧道连接，以及指向 litter.catbox.moe、xn8xyt-drop.s3.wasabisys.com 的外联

• 部署微软易受攻击驱动阻止列表，封掉 BYOVD 这条路

多想一层：这波攻击里最值得记的不是某个CVE，而是攻击者对\"信任链\"的系统性滥用——微软签名的驱动、微软签名的VS Code、微软自己复制的SYSVOL、正规云存储。Patch之外，对\"这台服务器为什么需要VS Code隧道\"这类问题保持敏感，可能比再多装一个检测产品更管用。

来源：Symantec（Broadcom）威胁情报

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

安世加为出海企业提供SOC 2、ISO 27001、PCI DSS、TrustE认证咨询服务（点击图片可详细查看）