中國背景Warlock勒索軟體鎖定水利、電信業者,持續利用SharePoint漏洞入侵

背景與影響

資安廠商Symantec與Carbon Black發現,具中國背景的Warlock勒索軟體集團鎖定水利公司、電信業者、區域政府機關及大學,透過SharePoint漏洞取得初始入侵管道。過去兩個月該集團似乎集中針對歐洲、非洲與拉丁美洲的葡萄牙語及西班牙語系國家發動攻擊。

該集團自2025年6月出現,因利用一連串名為ToolShell的SharePoint零時差漏洞鏈而聲名大噪,微軟並觀察到國家級駭客組織與勒索軟體團夥皆使用相同手法。研究人員指出,攻擊者取得存取權後會植入可跨多版本SharePoint運作的網頁後門,並透過簽署但存在漏洞的驅動程式執行「自帶漏洞驅動」(BYOVD)技術部署防毒與EDR終止工具。

在一起案例中,攻擊者於短短兩小時內讓40台主機的防護軟體失效,隨後在33台主機上啟動Warlock勒索軟體。勒索軟體酬載被置於網域的SYSVOL共用資料夾,此為可透過登入指令碼或群組原則一次性推送到整個網路的已知手法,顯示攻擊者具備高度的橫向擴散能力。

研究人員警告,ToolShell及其他SharePoint漏洞即使在爆發一年多後,仍是駭客有效的初始入侵途徑,反映出企業端SharePoint修補速度明顯不足,而攻擊鎖定關鍵基礎設施營運商更凸顯一旦得逞可能造成的現實世界衝擊。

解決方案

• 立即確認內部SharePoint伺服器是否已修補ToolShell相關的全部已知漏洞
• 盤點網域SYSVOL共用資料夾內容,排查是否存在未經授權的可執行檔案
• 部署可偵測BYOVD手法的EDR或防護方案,留意簽署但具漏洞的驅動程式濫用
• 監控VS Code Tunneling及類似遠端存取工具的異常使用情形
• 針對關鍵基礎設施系統建立離線或異地備份,降低勒索軟體癱瘓營運的衝擊
• 強化網域控制站的存取監控,留意群組原則物件遭竄改的跡象
• 制定事件應變計畫,並與執法機關及資安廠商建立合作管道以利快速應變