Warlock explotó SharePoint y atacó crítica

Timeline de la operación

Cadena de ataque y TTPs

La intrusión presenta una cadena coherente de post-explotación con varios objetivos encadenados. Primero, la entrada en SharePoint local. Después, la extracción de secretos de la granja, en particular las claves de máquina ASP.NET, que permitieron forjar payloads válidos y saltarse controles de integridad. Luego vino la deserialización mediante System.Workflow.ComponentModel con __VIEWSTATE, una técnica que habilitó ejecución de código dentro del application pool de SharePoint.

A partir de ahí, los atacantes buscaron visibilidad del entorno. Los comandos net user /domain, whoami y nltest /domain_trusts encajan con reconocimiento de dominio y validación de relaciones de confianza. En el mismo tramo temporal se vieron archivos de nombres numéricos borrados y binarios desplegados con nombres como ssvagent.exe, logger.exe, gsdll64.dll.tmp, doexeloc.dll.tmp, doexe.exe y doexeloc.dll. La secuencia sugiere staging y preparación de componentes auxiliares antes de las fases más agresivas.

La instalación del túnel de Visual Studio Code Insiders como servicio, el 29 de julio, es un elemento especialmente útil para defensa. La propia fuente lo interpreta como persistencia y acceso remoto encubierto. En términos operativos, el atacante no dependió solo de shells web o credenciales expuestas, sino que incorporó una vía que puede sobrevivir a reinicios y ocultar tráfico bajo un producto legítimo de desarrollo. Esa mezcla complica la detección basada en firmas simples.

La desactivación de protecciones fue el siguiente paso. El 31 de julio se distribuyó a.exe desde un recurso compartido interno y se ejecutó en al menos 40 hosts en aproximadamente dos horas. La fuente lo describe como una herramienta para terminar procesos de antivirus y EDR. En paralelo, se documentó abuso de K7RKScan como técnica BYOVD. El uso de un controlador firmado pero vulnerable eleva la complejidad de la detección porque la actividad maliciosa ocurre a nivel kernel y puede eludir controles usuario espacio.

El despliegue final del ransomware fue rápido. Ese mismo 31 de julio aparecieron run.exe, rune.exe y la nota how to restore your files.txt. Symantec y Carbon Black registraron Warlock en al menos 33 hosts luego de que las protecciones quedaran desactivadas. Además, el ransomware se alojó en SYSVOL, que se replica entre controladores de dominio y es legible en todo el dominio, lo que vuelve posible una expansión a gran escala sin copiar el binario host por host. En tres hosts adicionales, dfsrs.exe apareció como proceso padre de la entrega de run.exe y rune.exe, compatible con distribución por replicación ordinaria de SYSVOL.

Impacto regional

La fuente permite trazar alcance geográfico, pero no identificar una víctima latinoamericana concreta. La campaña reciente afectó, según Symantec y Carbon Black, al menos cuatro organizaciones en países de habla portuguesa y española de Europa, África y América Latina. Ese encuadre regional es suficiente para hablar de exposición extendida, aunque no para asignar país o empresa a una de las víctimas.

Panorama regional

El punto más importante es la diferencia entre presencia regional y victimología individual. La nota principal nombra a Brasil como país donde Warlock ya se había visto antes, pero no como destino confirmado de la tanda reciente. En la práctica, eso impide afirmar que una empresa brasileña, argentina, chilena, mexicana o de otro país latinoamericano haya sido una de las cuatro víctimas reconstruidas por Symantec y Carbon Black.

La lectura sectorial sí está clara. Hubo una empresa de agua y un proveedor de telecomunicaciones, ambos descritos como operadores de infraestructura crítica, además de un organismo gubernamental regional y una universidad. La mezcla de sectores habla de oportunidad táctica, no de un único vertical. También deja ver que Warlock no se limita a objetivos de gran visibilidad financiera, sino que se mueve con facilidad entre servicios esenciales, sector público y academia.

La atribución geográfica agregada también explica por qué los nombres de los países no fueron publicados. La propia fuente preserva la anonimización de víctimas. Security Affairs reprodujo luego que Brasil aparece entre los países alcanzados por actividad previa de Warlock, pero reiteró que las cuatro víctimas del período reciente fueron descritas por sector y región, sin identificación pública por país u organización. Esa cautela es consistente con el material primario.

Brasil

Brasil es el único país latinoamericano mencionado por nombre en la fuente principal, pero no como una víctima de la campaña reciente. Symantec y Carbon Black lo listan junto a Estados Unidos, India, Rusia, Taiwán y Japón como lugares donde ya se había observado actividad previa de Warlock. La cobertura independiente de Security Affairs repite esa lectura y subraya que las víctimas recientes fueron descritas por sector y región, no por país.

Eso significa que no hay base para afirmar una afectación brasileña concreta dentro de la tanda analizada. Sí hay base para sostener que el país entra en el mapa histórico de observación del actor y que la campaña reciente tuvo alcance en regiones de habla portuguesa y española, lo que mantiene a Brasil dentro de la zona de riesgo analítica. La fuente no da nombres de organizaciones ni cuantifica víctimas brasileñas.

Estados Unidos

El material disponible no identifica una víctima estadounidense en la campaña analizada. La única referencia concreta proviene de una fuente secundaria que afirma que organizaciones estadounidenses estuvieron entre víctimas anteriores de Warlock, pero sin aportar organización, estado, fecha de intrusión ni evidencia primaria que conecte esos casos con la operación de julio a octubre de 2026. Por eso, el informe no los trata como parte verificada de la campaña reconstruida.

Lo que sí queda confirmado es que Symantec ya había observado actividad previa de Warlock contra organizaciones de Estados Unidos, pero ese dato funciona como antecedente histórico, no como identificación de una víctima reciente. El cuerpo del informe debe leerse bajo esa restricción. No hay base verificable para una atribución país por país más allá de la geografía agregada ya mencionada.

Países sin cobertura verificable específica en el research para esta campaña, Argentina, Chile, Paraguay, Bolivia, Perú, Colombia, México y Uruguay.

Indicadores técnicos

La fuente también publica hashes asociados a muestras de Warlock, DLL maliciosas, archivos sospechosos, un asesino de AV y EDR y un controlador vulnerable. Como no fueron listados en el material consolidado de forma íntegra, este informe no los reproduce para no introducir errores.

Análisis para equipos de seguridad

La prioridad inmediata para defensores es revisar entornos SharePoint locales, especialmente si quedaron fuera de los ciclos de parcheo o mitigación vinculados a ToolShell. El material describe una cadena donde la entrada inicial no fue el único problema. Una vez obtenidas las machine keys, el atacante pudo firmar carga útil válida, explotar deserialización y operar dentro del application pool. Eso quiere decir que un web shell aislado no explica por sí solo el riesgo; el robo de secretos de la granja cambia la gravedad del incidente.

La telemetría de PowerShell y de msiexec merece revisión histórica. Los comandos codificados en Base64, la carga de System.Workflow.ComponentModel y la descarga de MSI desde catbox.moe y wasabisys.com son señales accionables. Si una organización ve msiexec invocando URLs o dominios de descarga no previstos, o PowerShell cargando ensamblados poco habituales en un entorno de SharePoint, la respuesta debería priorizar contención, revisión de persistencias y búsqueda de credenciales o secretos expuestos.

También conviene buscar abuso de cuentas de servicio y cambios de grupos locales Administrators. En la intrusión documentada, SPSEPRDSetup fue añadida repetidamente a Administrators en tres equipos. Eso, combinado con NetExec para enumeración de AD, spraying y ejecución remota, indica que el actor intentó moverse con rapidez una vez consolidado el acceso. Un control eficaz no se limita a bloquear un hash, sino a detectar patrones de administración anómalos, cambios de membresía local y ejecuciones remotas desde hosts inusuales.

El túnel de Visual Studio Code Insiders como servicio es otro indicador de persistencia que merece alertas específicas. code-insiders.exe tunnel service install --accept-server-license-terms no es un comando esperable en la mayoría de entornos corporativos. Si aparece en logs de endpoint, EDR o administración remota, conviene tratarlo como mecanismo de acceso encubierto hasta demostrar lo contrario. La misma lógica aplica al uso de BYOVD. Un controlador firmado no es benigno por definición; K7RKScan aparece en la fuente como abuso de un driver vulnerable para matar procesos de seguridad a nivel kernel.

Desde la contención, la distribución vía SYSVOL obliga a revisar controladores de dominio, replicación DFSR y cualquier script de inicio de sesión u objeto de Directiva de Grupo que pueda heredar binarios maliciosos. La fuente, además, señala que dfsrs.exe apareció como padre de la entrega en tres hosts adicionales. Eso sugiere que una detección puntual en un endpoint no basta. Si SYSVOL fue usado como canal, la prioridad pasa por cortar la replicación maliciosa, revisar el contenido replicado y validar qué otras estaciones pudieron ejecutar el payload desde el dominio.

Preguntas frecuentes

¿Qué indica este informe sobre la exposición de SharePoint local y el alcance regional de Warlock?

El informe muestra que Warlock explotó, según la fuente, una intrusión en SharePoint local para avanzar hasta el despliegue de ransomware, y que el impacto reciente se extendió a organizaciones de países lusófonos e hispanohablantes de Europa, África y América Latina. No identifica una víctima latinoamericana concreta, aunque Brasil figura en el historial previo del actor.

¿Qué relación hay entre ToolShell, las claves ASP.NET y el ransomware final?

La fuente vincula la entrada inicial con la cadena ToolShell y luego describe el robo de claves de máquina ASP.NET de la granja SharePoint. Con esas claves, los atacantes pudieron forjar payloads firmados y usar deserialización con __VIEWSTATE para ejecutar código. Esa secuencia conecta el acceso inicial con la etapa previa al despliegue de Warlock.

¿Por qué la instalación del túnel de Visual Studio Code Insiders preocupa tanto como el ransomware?

Porque no fue solo un binario más, sino un servicio instalado con code-insiders.exe tunnel service install --accept-server-license-terms, que Symantec describe como persistencia y acceso remoto encubierto. La combinación de ese túnel con NetExec, membresías administrativas nuevas y SYSVOL sugiere control sostenido del dominio antes del cifrado.

¿Qué técnicas de evasión y propagación hicieron más difícil frenar la intrusión?

La operación combinó a.exe para terminar procesos de antivirus y EDR, abuso de K7RKScan como BYOVD y almacenamiento de Warlock en SYSVOL para aprovechar la replicación del dominio. Eso une evasión a nivel endpoint con propagación a nivel de controladores de dominio. La sección Cadena de ataque y TTPs resume esa secuencia técnica.

¿Qué países de América Latina quedaron efectivamente confirmados en la campaña reciente?

Ninguno quedó confirmado de forma individual en la campaña reciente. El informe solo puede afirmar que las víctimas recientes se ubicaron de forma agregada en países de habla portuguesa y española de Europa, África y América Latina. Brasil aparece en la fuente como antecedente de actividad previa de Warlock, no como víctima identificada de esta tanda.

Limitaciones del material

El material consolidado no publica el nombre ni el país de ninguna de las cuatro organizaciones recientes, por lo que este informe no puede asignar una víctima concreta a Brasil ni a otro país latinoamericano. Tampoco reproduce los hashes completos publicados por la fuente principal, porque el research los resume sin listarlos íntegramente. En el plano técnico, la fuente considera probable el uso de explotación de SharePoint local como vector inicial, pero esa probabilidad no se transforma en certeza absoluta sobre cada víctima. La identidad exacta del controlador vulnerable usado en la intrusión detallada también quedó sin determinar.