El grupo, también identificado como Longlegs y Storm-2603, continúa utilizando vulnerabilidades de Microsoft SharePoint Server como puerta de entrada a redes empresariales. En ataques recientes logró desactivar herramientas de seguridad y distribuir ransomware a decenas de equipos en pocas horas, con víctimas en países de habla española y portuguesa.

Un grupo de amenazas vinculado por investigadores a China continúa explotando vulnerabilidades de Microsoft SharePoint Server para ingresar a redes corporativas, desactivar defensas y desplegar ransomware. La actividad fue detectada por los equipos de investigación de Symantec y Carbon Black, que siguen al actor bajo el nombre Longlegs. También es conocido en la industria como Warlock, Gold Salem y Storm-2603. Security.com

Durante los últimos dos meses, los investigadores identificaron ataques contra al menos cuatro organizaciones: una empresa de agua, un proveedor de telecomunicaciones, un organismo gubernamental regional y una universidad. Las víctimas estaban ubicadas en países de habla portuguesa y española de Europa, África y América Latina, lo que marca una concentración geográfica particular dentro de la actividad reciente del grupo. Security.com

El caso vuelve a poner el foco sobre instalaciones de SharePoint administradas dentro de las propias organizaciones. A diferencia de SharePoint Online, incluido en Microsoft 365, las vulnerabilidades que dieron origen a la campaña conocida como ToolShell afectan a servidores SharePoint instalados localmente. Microsoft había advertido ya en 2025 que Storm-2603 estaba aprovechando esas fallas para desplegar ransomware. Microsoft

SharePoint sigue funcionando como puerta de entrada

Warlock ganó notoriedad durante 2025 después de que distintos atacantes comenzaran a explotar una cadena de vulnerabilidades de SharePoint bautizada como ToolShell.

Entre las fallas relacionadas se encuentran CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 y CVE-2025-53771, que en determinadas combinaciones permiten evitar controles de seguridad y ejecutar código en servidores vulnerables. Microsoft publicó actualizaciones para SharePoint Server 2016, 2019 y Subscription Edition y recomendó aplicarlas de forma inmediata. Microsoft

Más de un año después, esas vulnerabilidades continúan siendo útiles para los atacantes. Symantec señala que Warlock sigue aprovechando fallas antiguas y posiblemente también vulnerabilidades más recientes de SharePoint para conseguir acceso inicial. Esto sugiere que todavía existen servidores expuestos que no fueron actualizados correctamente o que mantienen configuraciones vulnerables. Security.com

Una vez dentro, los atacantes instalan una web shell, un pequeño componente malicioso que permite enviar órdenes al servidor de manera remota y mantener el acceso.

En los incidentes analizados, esa web shell fue preparada para funcionar en diferentes versiones de SharePoint. Su objetivo principal era obtener las denominadas ASP.NET machine keys, claves utilizadas internamente por el sistema para validar información y sesiones. Security.com

Por qué robar las “machine keys” es tan importante

Las machine keys permiten a aplicaciones basadas en ASP.NET comprobar que determinados datos fueron generados por un sistema legítimo y no fueron modificados.

Si un atacante obtiene esas claves, puede crear información que el servidor considere auténtica aunque en realidad haya sido fabricada. En la campaña de Warlock, los investigadores observaron que los atacantes las utilizaban para crear cargas correctamente firmadas y conseguir ejecución remota de código dentro del entorno de SharePoint. Security.com

Este mecanismo ya había sido señalado durante los ataques de ToolShell de 2025. Microsoft recomendó entonces no limitar la respuesta únicamente a instalar las actualizaciones: también aconsejó rotar las machine keys de SharePoint y reiniciar IIS, precisamente porque un atacante que las hubiera robado podría mantener determinadas capacidades incluso después de corregir la vulnerabilidad inicial. Microsoft

Por eso, una organización que descubra que tuvo un servidor SharePoint vulnerable y expuesto no debería asumir que instalar el parche elimina automáticamente cualquier compromiso previo.

Primero ingresan; después intentan desactivar la seguridad

Una vez establecido el acceso, Warlock utiliza diferentes técnicas para avanzar por la red y reducir la capacidad de respuesta de los sistemas de seguridad.

Una de ellas es el llamado DLL sideloading, una técnica que aprovecha aplicaciones legítimas para conseguir que carguen una biblioteca maliciosa. De esta manera, el código del atacante puede ejecutarse bajo la apariencia de un programa permitido. Security.com

El grupo también descarga componentes adicionales utilizando servicios legítimos de almacenamiento y transferencia de archivos, entre ellos catbox[.]moe y wasabisys[.]com. Utilizar infraestructura conocida permite que esas conexiones se mezclen con tráfico normal y resulten menos evidentes para determinadas herramientas de monitoreo. Security.com

Pero una de las técnicas más agresivas observadas consiste en desactivar directamente los productos de seguridad instalados en los equipos.

Para hacerlo, Warlock utiliza un controlador legítimo pero vulnerable llamado K7RKScan.sys. El driver está firmado digitalmente, pero contiene la vulnerabilidad CVE-2025-1055, que puede aprovecharse para finalizar procesos protegidos a nivel del sistema operativo. Security.com

Esta técnica es conocida como Bring Your Own Vulnerable Driver, o BYOVD. En lugar de intentar atacar directamente un antivirus o una herramienta EDR, el atacante lleva consigo un controlador vulnerable que Windows acepta como legítimo y luego explota sus errores para interferir con los mecanismos de protección.

El mismo controlador ya había sido utilizado anteriormente por operadores relacionados con el ransomware DragonForce. Security.com

Más de 40 equipos afectados en apenas dos horas

Uno de los incidentes analizados por Symantec muestra la velocidad con la que el ataque puede escalar una vez que los responsables consiguen suficiente acceso dentro de la red.

En una organización de infraestructura crítica, los atacantes distribuyeron la herramienta destinada a desactivar software de seguridad en al menos 40 equipos en aproximadamente dos horas. Posteriormente desplegaron el ransomware Warlock en al menos 33 sistemas. Security.com

Para lograrlo aprovecharon SYSVOL, una carpeta utilizada en entornos de Active Directory para almacenar y distribuir configuraciones entre los controladores de dominio.

Warlock colocó allí el ransomware y aprovechó el propio mecanismo de replicación del dominio para facilitar su llegada a múltiples sistemas. De esta forma, una función legítima de administración empresarial terminó utilizada como canal para expandir el ataque. Security.com

El método permite pasar rápidamente de un único servidor SharePoint comprometido a una afectación mucho más amplia de la organización.

Visual Studio Code también puede convertirse en una herramienta de acceso remoto

Los investigadores observaron además el abuso de funciones legítimas de Visual Studio Code.

Warlock utiliza la característica de túneles incorporada en VS Code para establecer conexiones remotas hacia equipos comprometidos. En algunos incidentes, el ejecutable code-insiders.exe fue instalado como servicio para proporcionar acceso persistente a la red. Security.com

La utilización de programas conocidos forma parte de una estrategia denominada living off the land, en la que el atacante intenta aprovechar herramientas que ya existen o son habituales dentro de una organización.

En lugar de instalar constantemente software claramente malicioso, puede utilizar comandos del sistema, herramientas administrativas y aplicaciones legítimas para realizar reconocimiento, moverse por la red y mantener conexiones.

Este tipo de comportamiento puede resultar más difícil de detectar porque muchas de las acciones observadas también podrían formar parte del trabajo normal de administradores o desarrolladores.

Infraestructura crítica entre los objetivos

La elección de las víctimas eleva la importancia de la campaña.

Entre las organizaciones atacadas recientemente aparecen una empresa de agua y una compañía de telecomunicaciones, además de un organismo gubernamental y una universidad. Security.com

En infraestructuras críticas, un ataque de ransomware puede tener consecuencias que superan ampliamente la pérdida de archivos. Si el incidente interrumpe sistemas administrativos, comunicaciones, autenticación o aplicaciones necesarias para operar un servicio, el impacto puede trasladarse rápidamente a procesos del mundo físico.

Symantec no identificó públicamente a las organizaciones afectadas, por lo que no se conoce el alcance operativo concreto que tuvieron estos incidentes.

Tampoco está claro si el patrón geográfico responde a una campaña deliberadamente dirigida contra países de habla española y portuguesa o simplemente a la existencia de servidores SharePoint vulnerables y accesibles desde Internet. Los propios investigadores mantienen abiertas ambas posibilidades. Security.com

Un actor relacionado con China, pero con motivación también económica

Microsoft identificó en 2025 a Storm-2603 como un actor ubicado en China que utilizaba ToolShell para desplegar ransomware. A diferencia de otros grupos chinos observados durante la misma campaña, asociados principalmente con operaciones de espionaje, Storm-2603 mostró una orientación clara hacia ataques de extorsión. Microsoft

Investigaciones posteriores de Symantec relacionaron la actividad de Warlock con grupos o clusters históricos conocidos como CL-CRI-1040, CamoFei y ChamelGang. Algunos de esos antecedentes combinaban operaciones de espionaje con ransomware y otras actividades. Security.com

Por ese motivo, los investigadores hablan de un actor con vínculos o nexo con China, pero el uso de ransomware introduce también una motivación económica que dificulta clasificarlo únicamente como una operación estatal tradicional.

Warlock apareció públicamente en junio de 2025 y desde entonces ha sido relacionado con ataques contra organizaciones de numerosos países, entre ellos Estados Unidos, Brasil, India, Rusia, Taiwán y Japón. Security.com

Por qué las fallas de 2025 siguen siendo relevantes

La campaña demuestra un problema frecuente en la gestión de vulnerabilidades: una corrección disponible no significa que todos los sistemas hayan dejado de ser vulnerables.

Microsoft publicó actualizaciones completas para las vulnerabilidades de ToolShell en julio de 2025 y aclaró que SharePoint Online no estaba afectado, sino únicamente las implementaciones locales de SharePoint Server. Microsoft

Aun así, una instalación empresarial puede permanecer sin actualizar por diferentes motivos: sistemas antiguos, procesos internos que dificultan aplicar cambios, incompatibilidades, falta de inventario o servidores que dejaron de estar bajo una administración activa pero siguen accesibles.

Warlock parece aprovechar precisamente esa situación.

Además, en septiembre de 2026 CISA volvió a advertir sobre explotación activa de otra vulnerabilidad de SharePoint, CVE-2026-65660, una falla que permite ejecución remota de código a un atacante que ya cuenta con autorización. Microsoft incluyó correcciones para distintas vulnerabilidades de SharePoint en sus actualizaciones de septiembre. The Hacker News

Esto refuerza la necesidad de mantener el producto actualizado de forma continua y no considerar resuelto el riesgo simplemente porque las vulnerabilidades de ToolShell fueron corregidas el año anterior.

Qué deberían revisar las organizaciones

Para las empresas que mantienen SharePoint Server on-premises, el punto principal es comprobar que todas las instancias se encuentran en versiones soportadas y con las últimas actualizaciones de seguridad instaladas.

Microsoft recomienda además mantener activa la integración con Antimalware Scan Interface (AMSI) en modo completo, utilizar Microsoft Defender Antivirus o una solución equivalente, rotar las machine keys cuando exista sospecha de compromiso y reiniciar IIS después de aplicar las medidas correspondientes. Microsoft

Pero frente a una campaña como Warlock, la revisión no debería limitarse únicamente al servidor SharePoint.

Los equipos de seguridad también deberían buscar web shells inesperadas, nuevas herramientas de acceso remoto, controladores vulnerables utilizados para detener productos de seguridad, uso inusual de túneles de Visual Studio Code y archivos sospechosos colocados dentro de SYSVOL. Estos comportamientos forman parte de la cadena observada por Symantec en los ataques recientes. Security.com

El dato más importante del caso es que el ransomware aparece al final del ataque, no al principio. Antes de que los archivos comiencen a cifrarse, los atacantes pueden llevar horas o días dentro de la red obteniendo acceso, robando claves, instalando herramientas, desactivando defensas y preparando la distribución masiva del malware.

La continuidad de Warlock más de un año después de la aparición de ToolShell muestra que una vulnerabilidad conocida puede conservar valor durante mucho tiempo cuando quedan servidores sin actualizar. Para las organizaciones con SharePoint local, revisar la exposición y buscar señales de compromiso es tan importante como aplicar los parches pendientes. Security.com