Storm-2603 از آسیب‌پذیری‌های SharePoint برای استقرار باج‌افزار Warlock روی سیستم‌های بدون وصله بهره‌برداری می‌کند

مایکروسافت افشا کرد که یکی از عوامل تهدید مسئول سوءاستفاده فعال از آسیب‌پذیری‌های SharePoint، باج‌افزار Warlock را بر روی سیستم‌های هدف مستقر می‌کند. این غول فناوری در به‌روزرسانی‌ای که چهارشنبه منتشر کرد، اعلام نمود که این یافته‌ها بر اساس “تحلیل گسترده و اطلاعات تهدید حاصل از نظارت مستمر بر فعالیت‌های سوءاستفاده توسط Storm-2603” است. این عامل تهدید که به فعالیت‌های انگیزه مالی نسبت داده می‌شود، یک عامل تهدید مشکوک مبتنی بر چین است که در گذشته باج‌افزارهای Warlock و LockBit را مستقر کرده است.

زنجیره حملات شامل سوءاستفاده از CVE-2025-49706 (آسیب‌پذیری جعل هویت) و CVE-2025-49704 (آسیب‌پذیری اجرای کد از راه دور) است که سرورهای SharePoint داخلی بدون وصله را هدف قرار می‌دهد تا پیلود وب شل spinstall0.aspx را مستقر کند. Storm-2603 پس از دسترسی اولیه، دستورات کشف شامل whoami را اجرا کرده و سپس با استفاده از cmd.exe و اسکریپت‌های batch عمق‌تر در شبکه نفوذ می‌کند. این گروه همچنین از services.exe برای خاموش کردن حفاظت‌های Microsoft Defender استفاده کرده و برای حفظ دسترسی، وظایف زمان‌بندی شده ایجاد می‌کند. حملات با استقرار Mimikatz برای برداشت اعتبارنامه‌ها و حرکت جانبی با PsExec ادامه یافته و نهایتاً باج‌افزار Warlock از طریق تغییر Group Policy Objects توزیع می‌شود. آسیب‌پذیری‌های SharePoint Server تاکنون حداقل ۴۰۰ قربانی داشته و گروه‌های هکری چینی Linen Typhoon و Violet Typhoon نیز به این فعالیت‌ها مرتبط هستند.