Warlock fidye yazılımı SharePoint açıklarıyla su idaresi ve telekom şirketini hedef aldı

Symantec ve Carbon Black tehdit avcılarının 2 Ekim 2026'da kamuoyuyla paylaşılan bulgularına göre Warlock fidye yazılım grubu, şirket içi (on-premises) Microsoft SharePoint sunucularındaki açıkları kullanarak bir su idaresi, bir telekom operatörü, bölgesel bir kamu kurumu ve bir üniversiteye sızdı. Grubun son iki ayda özellikle Avrupa, Afrika ve Latin Amerika'daki Portekizce ve İspanyolca konuşulan ülkelere odaklandığı belirtiliyor.

Kim bu grup?

Warlock, Haziran 2025'te ortaya çıktı ve bir ay sonra ToolShell olarak bilinen SharePoint açık zincirini istismar etmesiyle tanındı. BleepingComputer grubu Çin bağlantılı olarak tanımlıyor; Symantec ise aynı aktörü Longlegs adıyla izliyor ve Warlock fidye yazılımının geliştirilmesini bu aktöre atfediyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

İstismar edilen açıklar: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 ve CVE-2025-53771. Bazı saldırılarda imzalı ancak açıklı bir sürücü (CVE-2025-1055) kullanılarak güvenlik ürünleri devre dışı bırakıldı (BYOVD tekniği).

Saldırı nasıl ilerledi?

Araştırmacıların incelediği 22 Temmuz tarihli saldırıda:

• İlk erişim SharePoint açığı ve ardından yerleştirilen bir web shell ile sağlandı.
• Bir EDR öldürücü araç yaklaşık iki saat içinde en az 40 sunucuda korumayı devre dışı bıraktı.
• Saldırganlar Active Directory keşfi ve kimlik bilgisi denemeleri yaptı; uzaktan erişim için meşru bir geliştirici aracının tünel özelliğini kullandı.
• Fidye yazılımı etki alanı denetleyicilerine çoğaltılan paylaşım klasörüne yerleştirilerek en az 33 sunucuda çalıştırıldı.

Neden önemli?

Araştırmacılar, ToolShell ve diğer SharePoint açıklarının Warlock ilk ortaya çıktıktan bir yılı aşkın süre sonra bile geçerli bir ilk erişim yolu olmaya devam ettiğini vurguluyor. Yamalanmamış şirket içi SharePoint sunucuları, kritik altyapı kuruluşları için ciddi risk oluşturuyor.

Ne yapılmalı?

• Şirket içi SharePoint sunucuları Microsoft'un yayımladığı güncellemelerle yamalanmalı; ToolShell sonrası önerilen anahtar yenileme adımları uygulanmalı.
• Açıklı sürücülerin yüklenmesini engelleyen Microsoft sürücü engelleme listesi etkinleştirilmeli.
• Güvenlik ajanlarının toplu biçimde devre dışı kalması için alarm kuralı oluşturulmalı.
• Etki alanı denetleyicilerindeki paylaşım klasörleri ve grup ilkesi değişiklikleri izlenmeli.
• Symantec'in yayımladığı göstergeler (IOC) tehdit avı çalışmalarında kullanılmalı.