Warlock продолжает атаковать через годовалые дыры в SharePoint

Symantec связала группу Longlegs (Storm-2603) с атаками Warlock ransomware на водоканалы, телекомы, госорганы и вузы через непатченные уязвимости SharePoint ToolShell. За два месяца пострадали минимум четыре организации в португало- и испаноязычных странах.

• За два месяца атакованы водоканал, телеком, госорган и университет
• Взломщики ставят вебшелл в LAYOUTS и крадут ASP.NET machine keys
• Для отключения защиты используют уязвимый драйвер K7RKScan
• В одной атаке Warlock развернули на 33 хостах через SYSVOL за два часа