Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración de acceso por SharePoint y propagación de archivos desde SYSVOL.

Síntesis y análisis propios a partir de la cobertura de BleepingComputer; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

BleepingComputer atribuye al grupo Warlock ataques contra una empresa de agua, un proveedor de telecomunicaciones, un organismo regional y una universidad, con vulnerabilidades de SharePoint como vía inicial.

Según investigadores de Symantec citados por la publicación, en una intrusión iniciada el 22 de julio se desactivó el software de protección en al menos 40 equipos en unas dos horas y después se lanzó Warlock en al menos 33.

Tras el acceso a despliegues locales de SharePoint, el actor instala una web shell diseñada para funcionar en varias versiones de ese producto, según la cobertura.

Symantec y Carbon Black observaron en algunos ataques atribuidos a Longlegs una herramienta para neutralizar antivirus y EDR que aprovecha un controlador firmado K7RKScan vulnerable mediante la técnica BYOVD.

En la intrusión analizada, el ransomware se preparó en el recurso SYSVOL del dominio, que replica archivos entre controladores de dominio.

Los investigadores encontraron Visual Studio Code Insiders instalado como servicio para acceso remoto mediante sus túneles integrados.

La fase final descrita ocurrió el 31 de julio: el ransomware apareció casi inmediatamente después de desactivar la protección en cada equipo.

Análisis de Defensops

La secuencia ilustra cómo un servidor SharePoint local expuesto puede convertirse en punto de entrada para una operación que alcanza recursos del dominio. Las vulnerabilidades de ToolShell sirven de contexto histórico para la actividad de Warlock, pero la cobertura no identifica el CVE exacto utilizado en cada intrusión reciente; atribuir todos los casos a una variante concreta sería excesivo.

El uso de SYSVOL resulta operativo porque la distribución del contenido en el dominio puede facilitar un despliegue amplio si el actor ya obtuvo permisos suficientes. La desactivación de protección antes del cifrado acorta el tiempo de respuesta disponible. Por eso importa correlacionar los cambios en SharePoint con la actividad del dominio y los eventos de cada agente de seguridad, en lugar de mirar solo el ejecutable final.

El controlador vulnerable y los túneles de VS Code añaden dos superficies observables distintas: cambios en controladores cargados y conexiones remotas iniciadas desde máquinas internas. La mera presencia de VS Code o de un controlador no prueba compromiso; importan la instalación inesperada como servicio, la secuencia temporal y su relación con otros indicios.

Prioridades de revisión

Con urgencia, inventariar SharePoint instalado localmente, confirmar que las correcciones aplicables están presentes y revisar los registros de acceso y la aparición de web shells en los servidores expuestos.

Buscar desactivaciones simultáneas o anómalas de antivirus y EDR, así como la carga del controlador K7RKScan vulnerable, y correlacionarlas con actividad de SharePoint y del dominio.

Revisar cambios no esperados en SYSVOL, scripts de inicio de sesión y objetos de directiva de grupo, especialmente si coinciden con distribución de ejecutables entre equipos.

Examinar servicios recién instalados que ejecuten VS Code Insiders y túneles salientes no previstos; verificar su origen y finalidad antes de tratarlos como maliciosos.

Si se confirma una intrusión, aislar los sistemas afectados y preservar registros de SharePoint, controladores de dominio y agentes de protección para reconstruir el alcance antes de restaurar.

Qué no se ha confirmado

La cobertura no precisa qué vulnerabilidad concreta de SharePoint abrió cada ataque reciente.

No identifica a las cuatro organizaciones ni detalla el alcance del cifrado o la posible extracción de datos en cada una.

No establece que el controlador BYOVD o los túneles de VS Code se hayan usado en todos los incidentes atribuidos a Warlock.

Fuente

BleepingComputer. Fecha indicada: 2026-10-02.