O grupo de ameaças suspeito de ligação com a China, conhecido como Warlock, continua a explorar vulnerabilidades no Microsoft SharePoint, tanto antigas quanto novas, em ataques direcionados a organizações em países de língua portuguesa e espanhola. Essa atividade, observada pelas equipes Symantec e Carbon Black Threat Hunter, atingiu organizações de infraestrutura crítica, governo e educação.
Detalhes Técnicos
O grupo Warlock utiliza vulnerabilidades no SharePoint para obter acesso inicial.
Eles empregam técnicas de DLL sideloading e abusam de drivers assinados vulneráveis, como o K7RKScan, para desativar o software de segurança.
O ransomware Warlock é utilizado para criptografar os dados das vítimas.
As vítimas incluem operadoras de água e telecomunicações, governos e universidades em países de língua portuguesa e espanhola.
Recomendações
Verifique se as vulnerabilidades conhecidas no SharePoint foram corrigidas.
Implemente medidas de segurança para detectar e prevenir ataques de ransomware.
Treine os funcionários para identificar e relatar atividades suspeitas.
Mantenha o software de segurança atualizado e configurado para detectar ameaças avançadas.
