Serangan ransomware Warlock masih aktif meski celah yang dieksploitasinya sudah berusia lebih dari setahun. Kelompok yang ditracking sebagai Longlegs atau Storm-2603 memanfaatkan rantai kerentanan ToolShell di Microsoft SharePoint on-premises untuk masuk ke jaringan korban.
Modus serangannya konsisten. Attacker menaruh web shell di direktori LAYOUTS, mencuri ASP.NET machine key, lalu memalsukan ViewState yang ditandatangani valid untuk eksekusi kode jarak jauh. Dari situ mereka bergerak lateral, menonaktifkan antivirus, dan menyebar ransomware lewat SYSVOL share.
Dalam satu insiden terhadap operator infrastruktur kritikal, alat penetrali software keamanan didorong ke 40 host dalam dua jam. Ransomware Warlock kemudian muncul di 33 host.
Victim terakhir mencakup utilitas air, penyedia telekomunikasi, organisasi pemerintah daerah, dan universitas di Eropa, Afrika, dan Amerika Latin. Aktivitas juga tercatat di Amerika Serikat, Brasil, India, Rusia, Taiwan, dan Jepang.
Kuncinya jelas: patch SharePoint farm penuh, rotasi machine key, aktifkan AMSI Full Mode, dan kurangi eksposur internet langsung. SharePoint Online tidak terdampak, tapi on-premises yang belum di-patch tetap jadi pintu masuk utama.