中国関連の脅威グループ「Warlock」、SharePointの脆弱性を悪用してセキュリティ停止とランサムウェア展開を実行

要点

• 中国との関連が疑われる脅威グループ「Warlock」が、オンプレミス版Microsoft SharePoint Serverの脆弱性を悪用した攻撃を継続していることが判明した。

• 直近2か月間でポルトガル語圏およびスペイン語圏の水道・通信といった重要インフラ事業者や自治体、大学など少なくとも4組織が標的となった。

• 侵入後はWebシェルを用いてASP.NETマシンキーを奪い、署名済みペイロードを偽造してアプリケーションプール内での遠隔コード実行を行っていた。

• 脆弱な正規ドライバーを悪用してセキュリティ対策ソフトを強制停止させ、ドメインのSYSVOL共有を通じて組織内の端末へランサムウェアを一斉展開していた。

• 米Broadcom傘下のサイバーセキュリティ部門であるSymantecおよびCarbon Blackの脅威ハンターチームは、中国との関連が疑われる脅威アクター「Warlock」が、Microsoft SharePoint Serverの脆弱性を悪用したランサムウェア攻撃を継続しているとする調査結果を公表した。同グループは過去2か月間で欧州、アフリカ、中南米にまたがるポルトガル語圏およびスペイン語圏の重要インフラ事業者や地方行政機関、大学など少なくとも4つの組織を標的に攻撃を行っていたという。攻撃プロセスではセキュリティ製品の無効化や正規機能の悪用を含む多段階の手法が確認されている。

重要インフラや教育機関を標的とした攻撃の被害

報告によると、Warlockは「Gold Salem」「Longlegs」「Storm-2603」などの別名でも追跡されている脅威グループであり、過去の活動クラスターである「CL-CRI-1040」「CamoFei」「ChamelGang」との活動の重複も指摘されている。

直近2か月間で確認された攻撃対象には、水道事業会社および電気通信事業者の重要インフラ事業者2件、地方行政機関1件、大学1件の計4組織が含まれていた。標的となった組織はすべてポルトガル語圏またはスペイン語圏に位置しており、欧州、アフリカ、中南米にまたがっていることが確認されている。

ある重要インフラ事業者に対する侵入事例では、攻撃者は侵入後わずか約2時間のあいだにセキュリティソフトウェアを無効化するツールを少なくとも40台のホストへ配布した。その後、ドメイン内の共有領域を経由して少なくとも33台のホストに対してWarlockランサムウェアを展開したと説明されている。

SharePointへの侵入とWebシェルによる権限奪取

Warlockによる一連の攻撃では、オンプレミス（自社設備内でサーバーを運用する形態）環境のMicrosoft SharePoint Serverに存在する複数の脆弱性が初期侵入経路として悪用されていた。攻撃者は過去に判明した脆弱性や比較的新しい脆弱性の双方を兵器化しているとみられている。

侵入に成功すると、攻撃者は複数バージョンのSharePointを対象としたWebシェル（外部からWebサーバーを遠隔操作するために設置される不正プログラム）を配置する。このWebシェルの主な目的は、SharePointファームの「ASP.NETマシンキー（machine keys）」を収集することにある。攻撃者は奪取したキーを悪用して正当に署名されたペイロードを偽造し、SharePointのアプリケーションプール内でリモートコード実行（RCE）を達成していたという。

直近の2026年7月22日に確認された事例でも、SharePoint Serverの脆弱性を突いてWebシェルを送り込み、偵察活動を経てアプリケーションプール内での任意コード実行権限を獲得した上で、ネットワーク深部への侵入が進められていた。

多様な回避技術とランサムウェアの一斉展開手口

調査チームは、Warlockが検知を回避しつつ組織全体へランサムウェアを行き渡らせるために用いた複数の戦術を報告している。

• DLLサイドローディングの利用: 正規プログラムがDLLを読み込む仕組みを悪用し、悪意あるコードをメモリ上に直接読み込ませていた。
• 正規クラウドストレージの悪用: 後続のペイロードをダウンロードする際、監視の目を逃れるために「catbox[.]moe」や「wasabisys[.]com」といった一般のファイル共有・ストレージサービスを経由させていた。
• BYOVDによるセキュリティソフトの停止: 正規の署名がある脆弱なドライバーを標的環境に持ち込んで悪用するBYOVD（Bring Your Own Vulnerable Driver）攻撃を実施していた。具体的には脆弱性「CVE-2025-1055」を持つ正規ドライバー「K7RKScan.sys」を悪用してセキュリティソフトを無効化しており、このドライバーは過去にDragonForceランサムウェアでも悪用された経緯がある。
• 環境寄生型（LotL）ツールとVS Codeトンネルの悪用: システム標準の機能や正規ツールを悪用して偵察やコマンド実行を行っていた。特にMicrosoft Visual Studio Code（VS Code）の組み込みトンネル機能を悪用し、感染端末へのリモート接続経路を確立していた。
• SYSVOL共有を悪用した一斉配布: 侵害したドメインコントローラーのSYSVOL共有（ドメイン内の全端末間でポリシーやスクリプトを同期する共有フォルダー）にペイロードを配置し、通常のActive Directory複製機能を利用して大規模にランサムウェアを配布していた。

過去の活動経緯と攻撃傾向に関する分析

Warlockは2025年半ば、「ToolShell」と呼ばれるSharePointの脆弱性をゼロデイで悪用してランサムウェアを展開したことで広く知られるようになった。さらに2026年初頭には、パッチ未適用のSmarterMailインスタンスを悪用してSmarterToolsを侵害した事案にも関与が指摘されていたほか、正規のデジタルフォレンジックツール「Velociraptor」をC2（遠隔指令サーバー）通信に転用する手口なども確認されていた。

SymantecおよびCarbon Blackの研究チームは、Warlockランサムウェアが最初に注目を集めてから1年以上が経過した現在においても、パッチ適用や緩和策が講じられていないSharePoint環境においてToolShellをはじめとする関連脆弱性の悪用が依然として有効な侵入経路として機能している実態を示していると指摘している。

また、近年のポルトガル語圏およびスペイン語圏への攻撃の集中については、インターネット上に露出している脆弱なSharePointサーバーを狙った日和見的な攻撃である可能性と、明確な意図を持って割り当てられた任務に基づく攻撃である可能性の双方が考えられるとの見解を示している。