SharePoint のCVE-2025-49704／49706：水道や通信を侵害し続ける Warlock ランサムウェア

Warlock Ransomware Exploiting SharePoint Flaws to Attack Water and Telecom Operators

2026/10/01 CyberSecurityNews — 中国との関連が指摘される攻撃者が、Microsoft SharePoint Server の脆弱性を悪用して Warlock ランサムウェアを展開し続けている。最近の攻撃では、ポルトガル語圏／スペイン語圏の国々にある、重要サービス／公共部門の組織が被害を受けている。この攻撃者を、Symantec は Longlegs として追跡し、Microsoft は Storm-2603 という名で追跡しており、過去の活動は CL-CRI-1040／CamoFei／ChamelGang とも関連付けられている。この 2 カ月間に、この攻撃キャンペーンは少なくとも 4組織を侵害しており、欧州／アフリカ／ラテンアメリカにある、水道事業者／通信事業者／地方政府機関／大学が被害を受けている。

SharePoint の脆弱性を悪用する Warlock ランサムウェア

Warlock は 2025年6月に出現し、SharePoint の ToolShell エクスプロイト・チェーンを通じて展開されたことで急速に注目を集めた。ToolShell は CVE-2025-49704／CVE-2025-49706 を組み合わせたものであり、その後に発生したバイパス攻撃では、CVE-2025-53770／CVE-2025-53771 が標的にされていた。このエクスプロイト・チェーンにより、オンプレミスの SharePoint Server への権限のないアクセス／内部設定の漏えい／リモートコード実行が可能になることを、CISA は確認している。

侵害されたシステムで確認されたランサムウェアのペイロードの 1 つが、Warlock である。さらに、2026年に新たな SharePoint の脆弱性が公表されたことで、この攻撃対象領域は引き続き問題となっており、サポート対象のオンプレミス版に影響する実環境での積極的な悪用について、CISA は警告している。

Symantec が公表した調査によると、Longlegs は通常、SharePoint の “LAYOUTS” ディレクトリに ASPX Web シェルを配置し、複数の製品バージョンを同時に標的にしているという。この Web シェルは ASP.NET のマシンキーを抽出するため、攻撃者は署名済みの \_\_VIEWSTATE ペイロードの偽造を達成し、SharePoint のアプリケーション・プール内でコード実行を可能にした後に、DLL サイドローディングを介して後続のマルウェアを読み込む。

具体的には、悪意のあるトラフィックを通常のクラウド通信に見せかけることが可能であるため、Catbox／Wasabi などの正規のホスティング・サービスからインストーラが取得される。2026年7月22日に発生した、ある重要インフラへの侵入では、SharePoint Server 上に Web シェルが出現したところから攻撃活動が始まり、攻撃者は “whoami”／”net user /domain”／”nltest /domain_trusts” を実行した。その後に、サイドローディング用のファイルペアの展開や、NetExec を介した Active Directory の探索、認証情報に対するスプレー攻撃などが引き起こされた。

さらに攻撃者は、Microsoft により署名された “code-insiders.exe” をサービスとしてインストールし、Visual Studio Code のトンネル機能を悪用した。これにより、正規の管理者や開発者によるものだと防御側が判断する可能性があるインフラを介して、秘匿性の高いアクセス経路が構築された。

暗号化を開始する前に、Longlegs は約 2 時間で、少なくとも 40台のホストに対して AV／EDR の停止用ユーティリティを配布した。最近の攻撃では、署名済みだが脆弱な K7RKScan ドライバの脆弱性 CVE-2025-1055 を悪用して、カーネル空間から特権プロセスを停止している。これは、Bring Your Own Vulnerable Driver (BYOVD) と呼ばれる手法である。

NIST によると、この脆弱性はドライバの IOCTL ハンドラで認可処理が欠落していることに起因し、K7 Security Anti-Malware バージョン 23.0.0.10 以下に影響する。ただし、調査担当者は、この侵入で実際に使用された特定のドライバを断定できなかったとしている。

その後に、少なくとも 33 台のシステムで Warlock が展開され、攻撃者は、侵害したドメインの “SYSVOL” 共有に対して、”run.exe”／”rune.exe”／身代金要求メモ “how to restore your files.txt” を配置した。SYSVOL はドメイン・コントローラ間で複製され、ドメイン全体から読み取り可能であるため、Distributed File System Replication によってペイロードが広範囲へ配布される。結果として、信頼された Active Directory インフラが、ランサムウェアの配布経路として悪用された。

この攻撃キャンペーンが示すのは、SharePoint の悪用が疑われる場合、パッチ適用だけでは不十分だということである。防御側に求められるのは、Web シェルおよび SharePoint ワーカープロセスの異常な挙動を対象とした脅威ハンティングや、永続化の仕組みを削除した後に行う ASP.NET／IIS マシンキーのローテーション、AMSI の Full Mode での有効化、EDR の導入、SharePoint のインターネット公開範囲の制限、不審な “ToolPane.aspx” リクエストの調査である。

さらに CISA が推奨するのは、外部公開が必要な環境を認証付き Layer 7 プロキシの背後に配置し、Central Administration への外部アクセスを遮断することである。修正が遅延すると、水道／通信／政府／教育機関などの外部公開された 1 台のコラボレーションサーバから、ドメイン全体の業務停止へと発展する可能性がある。

この標的傾向が、外部公開された脆弱なサーバが存在した結果なのか、特定地域を意図的に狙った攻撃なのかは明らかになっていない。ただし、いずれの場合でも、資産の特定／封じ込め／復旧計画を早急に進める必要がある。

ファイルの侵害の痕跡

SHA-256 Hash	Classification
116ca4e88a1bcebb6c0da7fb431c8eca7b8ef3f9767194820c56091972ccac2c	Warlock ransomware
155fb1cbdaea12c83ba92d18c88cf38bbc42bb684f913ca0bc26fcf115426a55	Warlock ransomware
1edb2c0b537cd95bbd5fc16321b4c38a6adf325ccc7b588ad6acc980b0463b60	Malicious DLL
206f27ae820783b7755bca89f83a0fe096dbb510018dd65b63fc80bd20c03261	Malicious DLL
27b7591cf9e1283010ca98fa5dbe970a73fee0d8cde277639924c144718db7c0	Malicious DLL
37f94fe1b4a106f02b6f74a69cbc05e69c17406f688beef4c9a045ffcbd2e65e	Suspicious file
6d07f1232dc59b84038fd0b2e75fdd3d5b825882bb0dba9e6724b7b0823fa3ad	Warlock ransomware
73c5268256c9da5488cd9e2b79013060ac321c7e54129344dc7b51e268af36ea	AV/EDR killer
8b58f7811a2a2f2a5024220490473774f02759dd2dd904b5b9fabfbaae37125f	Warlock ransomware
8ce8d8270ee9de02644530b8dd7fa78973b4a3b80f121e2c5f45ae68cce196f9	Warlock ransomware
9ceb01f8bf7d6dba2ae07f5bd6070de3ec67b5eb01f969b0ba85e74564fb83a7	Suspicious file
aaff04d84ef85353966aa4af186ff1254b72c068f33f802417b29dc23fb9f192	Suspicious file
ae9f7fce57c7b928e659dccf0e00fa79cd9cd61a106f18d4e03f92dc3a03c295	Vulnerable driver
c46825fcc0d1bf7a8b192facb176d6bf916c9dccfd6fa994be691e3b0e585f4e	Malicious DLL
e14240bac8277b0f6dd4d29ab5da20d246bcccae647e5fe8d19cdae7fe471b20	Malicious DLL
e3204b05e2f3a29bb6e6fcc21dda77d7cd31dfa755c21da0aa8661b5619ee0a1	Suspicious file
eea631b5f7125239db0811e4682c2316ead69f9822e02d94fb5d8bf0d2faebed	Suspicious file
f7269f80f81e99d06a590d7ab374e12fdf7e5f55a02c2a46c342d670f8519fdf	Suspicious file
fb3846c9ac53d1b841ada3a6b1091153fea41a169cb44fe0084097d1f4d45984	Malicious DLL

ネットワークの侵害の痕跡

Network IoC	Type	Observed Role
litter[.]catbox[.]moe	Defanged hostname	Payload-hosting and malware-delivery infrastructure
xn8xyt-drop[.]s3[.]wasabisys[.]com	Defanged hostname	Cloud-storage endpoint used to retrieve a malicious MSI package

Microsoft SharePoint Server の脆弱性 CVE-2025-49704／CVE-2025-49706 を悪用した Warlock ランサムウェア攻撃が横行しています。管理の不備なサーバの存在により、外部からの不正アクセスやコード実行を許してしまう危険な状態が発生しています。被害を受けると Web シェルの設置／認証情報の漏えい／監視ツールの無効化／ドメイン全体でのマルウェア拡散といった深刻な事態を引き起こします。これらを回避するための対策として、セキュリティ修正の適用／マシンキーの更新／異常検知の強化／不要な外部アクセスの制限が求められます。