Warlock ransomware atakuje SharePoint w sektorze wodnym i telekomunikacyjnym
Wektor ataku: SharePoint i sektor infrastruktury krytycznej
2 października 2026 roku BleepingComputer poinformował o nowej serii ataków ransomware przeprowadzonych przez grupę Warlock. Według źródeł operatorzy powiązani z Chinami uzyskali nieautoryzowany dostęp do systemów czterech podmiotów: operatora wodociągów, firmy telekomunikacyjnej, jednostki samorządowej oraz uniwersytetu. W każdym przypadku punktem wejścia były podatności w Microsoft SharePoint.
Zgłoszenia dotyczą infrastruktury krytycznej. Włamanie do systemów wodociągowych i telekomunikacyjnych oznacza ryzyko dla ciągłości usług i bezpieczeństwa danych. Według BleepingComputer incydenty miały miejsce w ostatnich tygodniach, choć nie podano dokładnych dat ani nazw zaatakowanych organizacji.
SharePoint: podatności jako brama do sieci
SharePoint jest popularnym narzędziem do współdzielenia plików i pracy grupowej. Jego wdrożenia w sektorze publicznym i prywatnym są powszechne, co czyni go atrakcyjnym celem ataków. Grupa Warlock wykorzystała znane luki bezpieczeństwa, pozwalające na eskalację uprawnień i zdalne wykonanie kodu. Nie sprecyzowano, które konkretne CVE zostały użyte, jednak wcześniejsze incydenty dotyczyły podatności identyfikowanych w latach 2023-2025.
Po uzyskaniu dostępu do SharePoint, intruzi eksplorowali sieć ofiary, zbierając dane i przygotowując środowisko pod wdrożenie ransomware. Taka taktyka jest typowa dla grup specjalizujących się w atakach na organizacje korzystające z popularnych rozwiązań chmurowych. Warto przypomnieć, że podobne metody wykorzystywały inne gangi, o czym pisałem przy okazji analizy LockBit Operation Cronos.
Warlock: profil grupy i motywacje
Warlock to grupa ransomware aktywna od 2023 roku, powiązana z aktorami z Chin na podstawie analizy infrastruktury i języka komunikacji. Grupa nie należy do najgłośniejszych na rynku, ale regularnie pojawia się w raportach dotyczących ataków na sektor publiczny i prywatny. Zaszyfrowane dane są wykorzystywane do szantażu, a żądania okupu przekazywane są przez komunikatory i kanały Tor.
W przypadku opisywanych ataków nie ma informacji o wysokości żądanych okupów ani o tym, czy jakakolwiek z organizacji zapłaciła. Media podają jedynie, że doszło do kradzieży i szyfrowania danych. Warlock nie opublikował jeszcze wykradzionych plików na publicznych forach, co sugeruje, że proces negocjacji trwa lub wyciek jest wstrzymany z innych przyczyn.
Grupa Warlock, choć nie jest tak rozpoznawalna jak LockBit czy Conti, regularnie wybiera cele z sektora publicznego i infrastruktury krytycznej. Ich działalność charakteryzuje się dużą elastycznością, jeśli chodzi o wybór wektorów ataku oraz metod komunikacji z ofiarami. W przeszłości wykorzystywali zarówno phishing, jak i podatności w popularnych narzędziach do pracy grupowej.
Kontekst: ransomware a infrastruktura krytyczna
Infrastruktura wodociągowa i telekomunikacyjna to cele o wysokim priorytecie dla grup ransomware. Atak na operatora wody oznacza nie tylko ryzyko przestoju, ale i potencjalne zagrożenie dla zdrowia publicznego. Podobne incydenty miały miejsce w USA w latach 2021-2024, gdy ransomware paraliżowało lokalne sieci wodociągowe i szpitale. W Europie większość regulatorów wymaga dziś szyfrowania danych wrażliwych i regularnych testów odporności na ataki, ale wdrożenia są nierówne.
Według BleepingComputer włamania Warlocka były możliwe dzięki opóźnieniom w łataniu SharePoint oraz braku segmentacji sieci. W sektorze publicznym często brakuje zasobów na bieżące aktualizacje i monitorowanie, co otwiera drogę do podobnych incydentów. Cyberprzestępcy wykorzystują te luki, by uzyskać szeroki dostęp do krytycznych systemów.
Warto podkreślić, że ataki na infrastrukturę krytyczną to problem techniczny, a zagrożenie społeczne. Przestoje w dostawie wody lub usług telekomunikacyjnych mogą prowadzić do poważnych konsekwencji dla mieszkańców i firm. W związku z tym sektor publiczny i operatorzy infrastruktury powinni stale podnosić poziom cyberbezpieczeństwa.
Opsec, ślady i reakcja ofiar
Nie ma informacji, by Warlock używał zaawansowanych technik ukrywania śladów na poziomie APT. Główne wektory to phishing, exploitacja SharePoint i późniejsze poruszanie się po sieci za pomocą uprawnień uzyskanych z kont pracowników. Po wdrożeniu ransomware operatorzy często pozostawiają ślady w logach dostępowych oraz artefakty w postaci narzędzi do lateral movement.
Organy ścigania i zespoły reagowania na incydenty zalecają natychmiastowe izolowanie zainfekowanych segmentów i analizę logów SharePoint. Dla wielu organizacji to pierwszy kontakt z grupą Warlock, która do tej pory nie była szeroko opisywana w polskojęzycznych mediach. Zgłoszenia o atakach pojawiają się coraz częściej, co wskazuje na rosnącą aktywność grupy i jej zainteresowanie rynkiem europejskim.
Wnioski dla bezpieczeństwa sektora publicznego
Ataki Warlocka pokazują, że nawet mniej znane grupy ransomware skutecznie wykorzystują podatności w popularnych narzędziach do atakowania infrastruktury krytycznej. SharePoint, ze względu na swoją popularność i złożoność, pozostaje atrakcyjnym celem. Regularne aktualizacje, segmentacja sieci i monitoring aktywności to absolutne minimum, jakie powinny wdrożyć organizacje zarządzające krytycznymi zasobami. Zaleca się również przeprowadzanie szkoleń dla pracowników, by ograniczyć ryzyko skutecznego phishingu.
Warto śledzić rozwój sytuacji, bo publikacja wykradzionych danych przez Warlock lub inne grupy może uruchomić kolejne fale ataków. Temat ransomware i wycieków danych omawiam szerzej w dossier o LockBit. W przypadku incydentu ważne jest szybkie reagowanie, dokładna analiza śladów oraz współpraca z zespołami bezpieczeństwa.
Źródła
Jak pracuję ze źródłami i poprawiam błędy. Znalazłeś błąd? Podaj fragment i źródło.