Warlock usa falhas do SharePoint para avançar sobre infraestrutura crítica
O grupo associado ao ransomware Warlock continua explorando vulnerabilidades em servidores Microsoft SharePoint instalados localmente para invadir organizações e ampliar sua presença nas redes corporativas. Investigações recentes identificaram ataques contra setores como abastecimento de água, telecomunicações, governo e educação. A atividade mais recente foi observada em países de língua portuguesa e espanhola, enquanto registros anteriores também apontam alvos no Brasil.
Pesquisadores da equipe Threat Hunter da Symantec, empresa da Broadcom, relacionam a campanha ao grupo chamado Longlegs, também associado ao nome Storm-2603. O ator ficou conhecido por explorar a cadeia de vulnerabilidades ToolShell em servidores SharePoint on-premises. Segundo a análise, a plataforma permanece entre seus caminhos preferidos para obter acesso inicial.
Nos dois meses anteriores à investigação, pelo menos quatro organizações foram atacadas. Entre elas estavam uma empresa de abastecimento de água e uma operadora de telecomunicações. A presença de vítimas em serviços essenciais aumenta a preocupação, pois uma invasão pode afetar não apenas dados corporativos, mas também operações necessárias à população.
Depois de comprometer um servidor SharePoint, os invasores instalam webshells – ferramentas que permitem executar comandos remotamente – e procuram material criptográfico usado pelo farm da plataforma. Esse tipo de informação pode ampliar as possibilidades de acesso e facilitar a execução de ações adicionais dentro do ambiente.
Em um dos incidentes ligados à infraestrutura crítica, ferramentas destinadas a desativar soluções de segurança foram distribuídas para pelo menos 40 hosts em aproximadamente duas horas. O Warlock alcançou ao menos 33 máquinas. Para propagar componentes, o grupo também recorreu ao SYSVOL, área do domínio usada normalmente para armazenar e replicar políticas e scripts.
A campanha combina exploração de vulnerabilidades, abuso de recursos legítimos e tentativas de neutralizar as defesas. Entre as técnicas observadas estão o uso de um driver assinado, mas vulnerável, para interferir em ferramentas de segurança, e túneis do Visual Studio Code para manter acesso remoto. Essa combinação permite que o ataque avance por diferentes camadas da rede, em vez de depender de uma única ferramenta.
A concentração recente em países de língua portuguesa e espanhola não significa que toda organização brasileira que utiliza SharePoint esteja sob ataque. Ainda assim, o histórico do grupo no Brasil e a presença de vítimas em diferentes regiões tornam inadequado tratar a ameaça como distante. Servidores locais expostos à internet e sem as atualizações necessárias devem ser avaliados com prioridade.
O risco é maior quando o SharePoint está integrado ao Active Directory, utiliza contas de serviço com permissões amplas ou mantém relações de confiança com outros sistemas. Nesses cenários, a aplicação pode funcionar como ponto de entrada para uma intrusão de maior alcance. O comprometimento do servidor inicial pode abrir caminho para problemas envolvendo identidades, endpoints e continuidade das operações.
O uso do SYSVOL para distribuir arquivos maliciosos também merece atenção. Como esse recurso existe para replicar políticas e scripts entre controladores de domínio, alterações inesperadas em seus diretórios podem passar despercebidas se não houver monitoramento adequado. A defesa deve incluir alertas para mudanças incomuns em políticas, novos serviços, carregamento de drivers e tentativas de interromper antivírus ou soluções de detecção e resposta.
A primeira medida é identificar todos os servidores SharePoint on-premises em operação, inclusive instâncias esquecidas ou mantidas por áreas específicas da empresa. Em seguida, é necessário confirmar se estão atualizados, revisar sua exposição externa e restringir o acesso administrativo. Sistemas que não precisam estar acessíveis pela internet devem ser protegidos por controles de rede e acesso remoto.
Também é importante procurar indícios de comprometimento, como webshells, arquivos alterados sem autorização, processos atípicos e sinais de extração de chaves ou outros materiais criptográficos. A investigação não deve ficar limitada ao servidor SharePoint: é preciso verificar os demais equipamentos alcançados, as contas utilizadas durante a invasão e as alterações feitas no Active Directory.
As equipes de segurança devem confirmar se as ferramentas de proteção continuam ativas e se houve tentativas de desativá-las. Monitorar o carregamento de drivers, o uso incomum de ferramentas de administração e a criação de túneis remotos pode ajudar a identificar etapas posteriores da intrusão. Controles de endpoint precisam ser configurados para detectar comportamentos suspeitos, não apenas arquivos reconhecidos como maliciosos.
Em ambientes de infraestrutura crítica, a resposta a incidentes precisa equilibrar contenção e continuidade. Desconectar servidores sem planejamento pode interromper serviços essenciais; manter sistemas comprometidos em produção, por outro lado, permite que o invasor continue avançando. A organização deve definir previamente como isolar segmentos, preservar evidências e manter operações prioritárias em funcionamento.
Backups protegidos contra alteração e testes regulares de recuperação continuam sendo indispensáveis, sobretudo diante do risco de ransomware. Porém, cópias de segurança não impedem a invasão nem substituem a correção da falha explorada. Recuperar dados sem eliminar o acesso do atacante pode levar a uma nova criptografia ou a outra interrupção.
O caso Warlock mostra que vulnerabilidades em plataformas colaborativas não devem ser tratadas como problemas isolados de aplicação. Quando o SharePoint está conectado ao domínio e a outros componentes corporativos, uma falha inicial pode evoluir rapidamente para um comprometimento sistêmico. Atualizar e proteger o servidor, limitar privilégios e monitorar a rede são medidas essenciais para impedir que uma brecha local se transforme em uma crise operacional.