Warlock explorou SharePoint e atacou crítica

Timeline da operação

Cadeia de ataque e TTPs

A intrusão mostra uma cadeia coerente de pós-exploração com vários objetivos encadeados. Primeiro, a entrada no SharePoint local. Depois, a extração de segredos da farm, em especial as chaves de máquina ASP.NET, que permitiram forjar payloads válidos e contornar controles de integridade. Em seguida, veio a desserialização por meio de System.Workflow.ComponentModel com __VIEWSTATE, uma técnica que habilitou execução de código dentro do application pool do SharePoint.

A partir daí, os atacantes buscaram visibilidade do ambiente. Os comandos net user /domain, whoami e nltest /domain_trusts se encaixam em reconhecimento de domínio e validação de relações de confiança. No mesmo intervalo temporal, foram vistos arquivos de nomes numéricos apagados e binários implantados com nomes como ssvagent.exe, logger.exe, gsdll64.dll.tmp, doexeloc.dll.tmp, doexe.exe e doexeloc.dll. A sequência sugere staging e preparação de componentes auxiliares antes das fases mais agressivas.

A instalação do túnel do Visual Studio Code Insiders como serviço, em 29 de julho, é um elemento especialmente útil para defesa. A própria fonte o interpreta como persistência e acesso remoto oculto. Em termos operacionais, o atacante não dependia apenas de shells web ou credenciais expostas, mas incorporou um caminho que pode sobreviver a reinícios e ocultar tráfego sob um produto legítimo de desenvolvimento. Essa combinação dificulta a detecção baseada em assinaturas simples.

A desativação das proteções veio em seguida. Em 31 de julho, foi distribuído a.exe a partir de um compartilhamento interno e ele foi executado em pelo menos 40 hosts em aproximadamente duas horas. A fonte o descreve como ferramenta para encerrar processos de antivírus e EDR. Em paralelo, foi documentado abuso de K7RKScan como técnica BYOVD. O uso de um driver assinado, mas vulnerável, eleva a complexidade da detecção porque a atividade maliciosa acontece em nível de kernel e pode contornar controles em espaço de usuário.

O estágio final do ransomware foi rápido. No mesmo 31 de julho, surgiram run.exe, rune.exe e a nota how to restore your files.txt. Symantec e Carbon Black registraram Warlock em pelo menos 33 hosts depois que as proteções foram desativadas. Além disso, o ransomware foi colocado em SYSVOL, que se replica entre controladores de domínio e é legível em todo o domínio, o que permite expansão em grande escala sem copiar o binário host a host. Em três hosts adicionais, dfsrs.exe apareceu como processo pai da entrega de run.exe e rune.exe, compatível com distribuição por replicação normal de SYSVOL.

Impacto regional

A fonte permite traçar o alcance geográfico, mas não identificar uma vítima latino-americana concreta. A campanha recente afetou, segundo Symantec e Carbon Black, ao menos quatro organizações em países de língua portuguesa e espanhola da Europa, da África e da América Latina. Esse enquadramento regional é suficiente para falar em exposição ampla, embora não para atribuir país ou empresa a uma das vítimas.

Panorama regional

O ponto mais importante é a diferença entre presença regional e vitimização individual. A nota principal cita o Brasil como país onde o Warlock já havia sido observado antes, mas não como destino confirmado da leva recente. Na prática, isso impede afirmar que uma empresa brasileira, argentina, chilena, mexicana ou de outro país latino-americano tenha sido uma das quatro vítimas reconstruídas por Symantec e Carbon Black.

A leitura setorial, porém, é clara. Houve uma empresa de água e um provedor de telecomunicações, ambos descritos como operadores de infraestrutura crítica, além de um órgão governamental regional e uma universidade. A mistura de setores aponta para oportunidade tática, não para um único vertical. Também mostra que o Warlock não se limita a alvos de grande visibilidade financeira, ele transita com facilidade entre serviços essenciais, setor público e academia.

A atribuição geográfica agregada também explica por que os nomes dos países não foram publicados. A própria fonte preserva o anonimato das vítimas. A Security Affairs depois reproduziu que o Brasil aparece entre os países atingidos por atividade prévia do Warlock, mas reiterou que as quatro vítimas do período recente foram descritas por setor e região, sem identificação pública por país ou organização. Essa cautela é coerente com o material primário.

Brasil

O Brasil é o único país latino-americano mencionado nominalmente na fonte principal, mas não como vítima da campanha recente. Symantec e Carbon Black o listam ao lado de Estados Unidos, Índia, Rússia, Taiwan e Japão como locais onde já havia sido observada atividade prévia do Warlock. A cobertura independente da Security Affairs repete essa leitura e ressalta que as vítimas recentes foram descritas por setor e região, não por país.

Isso significa que não há base para afirmar uma afetação brasileira concreta dentro da leva analisada. Há, sim, base para sustentar que o país está no mapa histórico de observação do ator e que a campanha recente teve alcance em regiões de língua portuguesa e espanhola, o que mantém o Brasil dentro da zona de risco analítica. A fonte não informa nomes de organizações nem quantifica vítimas brasileiras.

Estados Unidos

O material disponível não identifica uma vítima americana na campanha analisada. A única referência concreta vem de uma fonte secundária, que afirma que organizações dos Estados Unidos estiveram entre vítimas anteriores do Warlock, mas sem apresentar organização, estado, data de intrusão nem evidência primária que conecte esses casos à operação de julho a outubro de 2026. Por isso, o informe não os trata como parte verificada da campanha reconstruída.

O que fica confirmado é que a Symantec já havia observado atividade prévia do Warlock contra organizações dos Estados Unidos, mas esse dado funciona como antecedente histórico, não como identificação de uma vítima recente. O corpo do informe deve ser lido sob essa restrição. Não há base verificável para uma atribuição país por país além da geografia agregada já mencionada.

Países sem cobertura verificável específica no research para esta campanha, Argentina, Chile, Paraguai, Bolívia, Peru, Colômbia, México e Uruguai.

Indicadores técnicos

A fonte também publica hashes associados a amostras de Warlock, DLLs maliciosas, arquivos suspeitos, um terminador de AV e EDR e um driver vulnerável. Como eles não foram listados de forma íntegra no material consolidado, este informe não os reproduz para evitar erros.

Análise para equipes de segurança

A prioridade imediata para defensores é revisar ambientes SharePoint locais, especialmente se ficaram fora dos ciclos de correção ou mitigação ligados ao ToolShell. O material descreve uma cadeia em que a entrada inicial não foi o único problema. Depois de obter as machine keys, o atacante pôde assinar payloads válidos, explorar desserialização e operar dentro do application pool. Isso significa que um web shell isolado não explica sozinho o risco, o roubo de segredos da farm muda a gravidade do incidente.

A telemetria de PowerShell e de msiexec merece revisão histórica. Os comandos codificados em Base64, o carregamento de System.Workflow.ComponentModel e o download de MSI de catbox.moe e wasabisys.com são sinais acionáveis. Se uma organização vir msiexec invocando URLs ou domínios de download inesperados, ou PowerShell carregando assemblies pouco comuns em um ambiente de SharePoint, a resposta deve priorizar contenção, revisão de persistências e busca por credenciais ou segredos expostos.

Também convém procurar abuso de contas de serviço e alterações em grupos locais Administrators. Na intrusão documentada, SPSEPRDSetup foi adicionada repetidamente a Administrators em três máquinas. Isso, combinado com NetExec para enumeração de AD, spraying e execução remota, indica que o ator tentou se mover rapidamente após consolidar o acesso. Um controle eficaz não se limita a bloquear um hash, ele detecta padrões de administração anômalos, mudanças de membresia local e execuções remotas a partir de hosts incomuns.

O túnel do Visual Studio Code Insiders como serviço é outro indicador de persistência que merece alertas específicos. code-insiders.exe tunnel service install --accept-server-license-terms não é um comando esperado na maioria dos ambientes corporativos. Se aparecer em logs de endpoint, EDR ou administração remota, ele deve ser tratado como mecanismo de acesso encoberto até prova em contrário. A mesma lógica vale para o uso de BYOVD. Um driver assinado não é benigno por definição; K7RKScan aparece na fonte como abuso de um driver vulnerável para encerrar processos de segurança em nível de kernel.

Na contenção, a distribuição via SYSVOL exige revisão de controladores de domínio, replicação DFSR e qualquer script de logon ou objeto de Diretiva de Grupo que possa herdar binários maliciosos. A fonte, além disso, indica que dfsrs.exe apareceu como processo pai da entrega em três hosts adicionais. Isso sugere que uma detecção pontual no endpoint não basta. Se o SYSVOL foi usado como canal, a prioridade passa a ser cortar a replicação maliciosa, revisar o conteúdo replicado e validar quais outras estações podem ter executado o payload a partir do domínio.

Perguntas frequentes

O que este relatório indica sobre a exposição do SharePoint local e o alcance regional do Warlock?

O relatório mostra que o Warlock explorou, segundo a fonte, uma intrusão em SharePoint local para avançar até a implantação de ransomware, e que o impacto recente se espalhou por organizações de países lusófonos e hispanofalantes da Europa, da África e da América Latina. Ele não identifica uma vítima latino-americana concreta, embora o Brasil apareça no histórico prévio do ator.

Qual é a relação entre ToolShell, as chaves ASP.NET e o ransomware final?

A fonte vincula a entrada inicial à cadeia ToolShell e depois descreve o roubo de chaves de máquina ASP.NET da farm SharePoint. Com essas chaves, os atacantes puderam forjar payloads assinados e usar desserialização com __VIEWSTATE para executar código. Essa sequência conecta o acesso inicial à etapa anterior ao disparo do Warlock.

Por que a instalação do túnel do Visual Studio Code Insiders preocupa tanto quanto o ransomware?

Porque não foi apenas mais um binário, e sim um serviço instalado com code-insiders.exe tunnel service install --accept-server-license-terms, que a Symantec descreve como persistência e acesso remoto encoberto. A combinação desse túnel com NetExec, novas membresias administrativas e SYSVOL sugere controle sustentado do domínio antes da criptografia.

Quais técnicas de evasão e propagação tornaram a intrusão mais difícil de conter?

A operação combinou a.exe para encerrar processos de antivírus e EDR, abuso de K7RKScan como BYOVD e armazenamento do Warlock em SYSVOL para aproveitar a replicação do domínio. Isso junta evasão no endpoint com propagação em nível de controladores de domínio. A seção Cadeia de ataque e TTPs resume essa sequência técnica.

Quais países da América Latina ficaram efetivamente confirmados na campanha recente?

Nenhum ficou confirmado de forma individual na campanha recente. O relatório só pode afirmar que as vítimas recentes estavam, de forma agregada, em países de língua portuguesa e espanhola da Europa, da África e da América Latina. O Brasil aparece na fonte como antecedente de atividade prévia do Warlock, não como vítima identificada desta leva.

Limitações do material

O material consolidado não publica o nome nem o país de nenhuma das quatro organizações recentes, por isso este informe não pode atribuir uma vítima concreta ao Brasil nem a outro país latino-americano. Ele também não reproduz os hashes completos publicados pela fonte principal, porque o research os resume sem listá-los integralmente. No plano técnico, a fonte considera provável o uso de exploração de SharePoint local como vetor inicial, mas essa probabilidade não se transforma em certeza absoluta sobre cada vítima. A identidade exata do controlador vulnerável usado na intrusão detalhada também permaneceu sem determinação.