SharePoint の脆弱性から侵入：中国由来の Warlock がランサムウェアを展開

Warlock Exploits SharePoint Flaws to Disable Security Tools and Deploy Ransomware

2026/10/03 TheHackerNews — 中国との関連が疑われる攻撃者 Warlock は、Microsoft SharePoint の既知／新規の脆弱性を悪用し、ポルトガル語圏／スペイン語圏の組織への攻撃を継続しているとみられる。この SharePoint 侵害により、重要インフラ／政府機関／教育機関が被害を受けている状況を、Symantec／Carbon Black Threat Hunter Team が観測している。Broadcom 傘下のサイバー・セキュリティ部門は、「これまでの 2 カ月間で、Longlegs は少なくとも 4 組織を攻撃した。その内訳に含まれるのは、重要インフラ組織としての水道事業者／通信事業者と、地方政府機関、大学である。欧州／アフリカ／中南米にまたがるポルトガル語圏／スペイン語圏の国々に、それらの被害組織は存在している」と説明している。

Gold Salem／Longlegs／Storm-2603 としても追跡されている Warlock は、2025 年半ばに SharePoint の “ToolShell” 脆弱性をゼロデイとして悪用し、標的システムに対してランサムウェアを展開したことで注目を集めた。

パッチ未適用の SmarterMail インスタンスを悪用して、SmarterTools を侵害する攻撃との関連性が、このグループに対して指摘されたのは、今年の初めのことである。また、このグループは、Bring Your Own Vulnerable Driver (BYOVD) の手法も使用している。具体的には、コマンド＆コントロール (C2) に Velociraptor などの正規ツールを利用し、侵害したホストで動作するセキュリティ・ソフトウェアを無効化している。

Symantec によると、Warlock の活動には、過去の活動クラスターである CL-CRI-1040／CamoFei／ChamelGang との重複が確認されている。

研究者たちは、「ある重要インフラ事業者への侵入において、この攻撃者は約 2 時間で少なくとも 40 台のホストにツールを展開し、セキュリティ・ソフトウェアを無効化した。その後に、ドメインの SYSVOL 共有に Warlock を配置し、通常のドメイン・レプリケーションを介して各マシンへ配信することで、少なくとも 33 台のホストに Warlock を展開した」と説明している。

オンプレミスの Microsoft SharePoint Server 環境に存在する複数の脆弱性が、Warlock による攻撃で悪用されている。侵入に成功した攻撃者は、複数の SharePoint バージョンを標的とする、Web シェルを設置していることが確認された。この Web シェルの最終的な目的は、SharePoint ファームの ASP.NET マシンキーを収集することにあり、攻撃者は収集したキーを悪用して、有効な署名が付いたペイロードを偽造し、SharePoint のアプリケーション・プール内でリモートコード実行を引き起こす。

その他に確認されている攻撃手法は、以下のとおりである。

• DLL サイドローディングを使用し、悪意あるコードをメモリへ読み込む。
• catbox[.]moe／wasabisys[.]com などの正規クラウドファイル共有／ストレージサービスから、後続のペイロードをダウンロードし、検出を回避する。
• 正規の脆弱なドライバ K7RKScan.sys (CVE-2025-1055) を BYOVD 攻撃の一環として悪用し、セキュリティ・ソフトウェアを無効化する。このドライバは、以前の DragonForce ランサムウェアの攻撃者にも悪用されていた。
• 侵害したホストで Living-off-the-Land (LotL) ツールを使用し、偵察／コマンド実行を行う。Microsoft Visual Studio Code に組み込まれたトンネル機能の悪用による、感染システムへのリモート接続を確立することも含まれる。
• 侵害したドメインの SYSVOL 共有にペイロードを配置し、ランサムウェアを大規模に展開する。

直近では 2026年7月22日にも、SharePoint Server の脆弱性が攻撃者に悪用された。その時には、Web シェルの設置／探索活動／SharePoint の App プール内での任意コード実行／追加ペイロードの展開／ネットワーク内部への侵入／VS Code トンネルの確立／セキュリティ・ソフトウェアの停止などが実行され、最終的にはランサムウェア・バイナリの展開へ至ったとされている。

Symantec と Carbon Black は、「Warlock ランサムウェアが注目を集めるようになってから 1 年以上が経過している。Longlegs の継続した活動が示すのは、ToolShell などの SharePoint 関連の脆弱性の悪用が、SharePoint 環境に対する有効な初期アクセス経路であり続けていることだ」と説明している。

同社は、「最近の攻撃は、ポルトガル語圏／スペイン語圏の国々に集中している。それが示唆するのは、外部公開された脆弱な SharePoint サーバに起因する、機会的な標的選定もしくは、意図的な攻撃指示のいずれかである」と付け加えている。

オンプレミスの Microsoft SharePoint Server に存在する脆弱性が、Warlock ランサムウェア攻撃に悪用されています。それにより、Web シェル配置／キー収集／認証回避／任意コード実行／BYOVD 攻撃によるセキュリティ機能停止／SYSVOL 共有を介した全社展開などが引き起こされる可能性があります。特に K7RKScan.sys (CVE-2025-1055) などの脆弱なドライバの悪用や、正規管理ツールの悪用により、広範囲のシステム障害やデータ暗号化に至る恐れがあります。各環境への修正プログラム適用／ASP.NET マシンキー・ローテーション／ドライバブロック規則適用／権限最小化などが求められます。