Warlock เจาะช่องโหว่ SharePoint สั่งปิดระบบรักษาความปลอดภัย

กลุ่มผู้ไม่หวังดี Warlock ซึ่งคาดว่ามีความเชื่อมโยงกับประเทศจีน ยังคงเดินหน้าใช้ช่องโหว่ของ Microsoft SharePoint ทั้งช่องโหว่ เก่า และ ใหม่ เป็นอาวุธในการโจมตีองค์กรในประเทศที่ใช้ภาษาโปรตุเกสและสเปน

ทีมล่าภัยคุกคามจาก Symantec และ Carbon Black ตรวจพบกิจกรรมที่ส่งผลกระทบโดยตรงต่อโครงสร้างพื้นฐานสำคัญ หน่วยงานรัฐบาล และสถาบันการศึกษา โดยครอบคลุมพื้นที่ทั้งในยุโรป แอฟริกา และลาตินอเมริกา

ในช่วงสองเดือนที่ผ่านมา Warlock หรือที่รู้จักในชื่ออื่นอย่าง Gold Salem, Longlegs และ Storm-2603 ได้โจมตีองค์กรอย่างน้อยสี่แห่ง ซึ่งรวมถึงผู้ให้บริการน้ำประปาและโทรคมนาคม ระบุโดย Symantec กลุ่มนี้เริ่มมีชื่อเสียงตั้งแต่ปี 2025 จากการใช้ช่องโหว่ Zero-day ของ SharePoint ที่ชื่อ "ToolShell" เพื่อติดตั้ง Ransomware

นอกจาก SharePoint แล้ว กลุ่มนี้ยังเคยถูก เชื่อมโยง กับการเจาะระบบ SmarterMail และการ ใช้เครื่องมือ ที่ถูกกฎหมายอย่าง Velociraptor ในการควบคุมสั่งการ (C2) รวมถึงใช้เทคนิค Bring Your Own Vulnerable Driver (BYOVD) เพื่อทำลายการป้องกันของซอฟต์แวร์รักษาความปลอดภัย

ข้อมูลจากนักวิจัยระบุว่า ในการบุกรุกผู้ให้บริการโครงสร้างพื้นฐานรายหนึ่ง ผู้โจมตีได้ส่งเครื่องมือปิดระบบรักษาความปลอดภัยไปยังเครื่องโฮสต์ 40 เครื่องภายในเวลาเพียงสองชั่วโมง ก่อนจะติดตั้ง Warlock Ransomware บนโฮสต์ 33 เครื่องผ่าน SYSVOL share ของโดเมนเพื่อให้กระจายตัวไปตามเครื่องต่างๆ ในเครือข่าย

กลยุทธ์สำคัญที่ Warlock เลือกใช้ประกอบด้วย:

• การวาง Web Shell บน Microsoft SharePoint Server เพื่อขโมย Machine Keys ของ ASP.NET สำหรับการทำ Remote Code Execution
• ใช้ DLL Sideloading เพื่อรันรหัสอันตรายในหน่วยความจำ
• ดาวน์โหลด Payload จากบริการคลาวด์ เช่น catbox[.]moe เพื่อหลบเลี่ยงการตรวจจับ
• โจมตีแบบ BYOVD ผ่านไดรเวอร์ที่มีช่องโหว่ K7RKScan.sys (CVE-2025-1055) เพื่อปิดซอฟต์แวร์ความปลอดภัย
• ใช้ฟีเจอร์ Tunnel ใน Microsoft Visual Studio Code เพื่อเชื่อมต่อระยะไกลเข้าสู่ระบบที่ติดเชื้อ

ความเคลื่อนไหวล่าสุดเมื่อวันที่ 22 กรกฎาคม 2026 ยืนยันว่าช่องโหว่ SharePoint ยังคงเป็นเป้าหมายหลักในการเจาะระบบเบื้องต้น หากเซิร์ฟเวอร์ยังไม่ได้รับการอัปเดตแพตช์ความปลอดภัยอย่างเหมาะสม องค์กรจึงควรเฝ้าระวังและดำเนินการแก้ไขช่องโหว่ที่เกี่ยวข้องโดยเร่งด่วน