Warlock Ransomware SharePoint – diese Kombination ist mehr als ein Jahr nach dem ersten großen Auftritt der Gruppe noch immer ein funktionierender Einbruchsweg. Das Symantec Threat Hunter Team berichtete am 1. Oktober 2026, dass die Akteure hinter Warlock in den vergangenen zwei Monaten mindestens vier Organisationen in portugiesisch- und spanischsprachigen Ländern in Europa, Afrika und Lateinamerika über lokal betriebene Microsoft-SharePoint-Server kompromittiert haben. Unter den Opfern: ein Wasserversorger und ein Telekommunikationsanbieter, dazu eine Regionalbehörde und eine Universität.
Warlock Ransomware SharePoint: der Einbruchsweg im Detail
Symantec führt die Gruppe als Longlegs – bei Microsoft heißt sie Storm-2603 – und ordnet sie einem Akteur mit China-Bezug zu. Warlock trat im Juni 2025 erstmals auf und wurde wenige Wochen später bekannt, weil die Angreifer die SharePoint-Zero-Days der ToolShell-Kette ausnutzten – CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 und CVE-2025-53771. Laut Symantec dürften diese Lücken weiterhin im Werkzeugkasten der Gruppe stecken, ergänzt um neuere SharePoint-Schwachstellen, zu denen die CISA im Juli 2026 ein Advisory veröffentlichte.
Technisch läuft der Zugriff nach einem sauber durchdachten Muster ab. Nach der Ausnutzung legt die Gruppe eine Webshell im LAYOUTS-Verzeichnis ab, und zwar gleich für mehrere SharePoint-Versionen parallel. So funktioniert die Shell unabhängig davon, welche Version tatsächlich installiert ist. Aufgabe der Webshell ist das Abgreifen der ASP.NET-Machine-Keys der SharePoint-Farm. Mit diesen Schlüsseln signieren die Angreifer anschließend eine gültige Payload und erreichen damit Codeausführung im SharePoint-Anwendungspool.
Verteilung über SYSVOL – Domänenreplikation als Lieferdienst
Besonders bemerkenswert ist die Ausrollphase. Bei einem Einbruch bei einem Betreiber kritischer Infrastruktur verteilten die Angreifer innerhalb von rund zwei Stunden ein Werkzeug zum Abschalten der Sicherheitssoftware auf mindestens 40 weitere Hosts. Danach legten sie Warlock im SYSVOL-Share der Domäne ab – dem Verzeichnis, das automatisch auf jeden Domänencontroller replizieren und domänenweit lesbar ist. Die normale Replikation übernahm den Rest, die Ransomware landete auf mindestens 33 Systemen.
Für Bewegung und Fernzugriff setzte Longlegs laut Symantec stark auf bordeigene Werkzeuge, DLL-Sideloading und die Tunnel-Funktion von Visual Studio Code: Die Binärdatei code-insiders.exe wurde als Dienst installiert, um verdeckten Fernzugriff herzustellen, der im Datenverkehr wie die Arbeit eines Entwicklers oder Administrators aussieht.
Dein AD härten: 12 Sofortmaßnahmen
Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
Was das für dich bedeutet
Zwei Dinge fallen aus Praxissicht ins Auge. Erstens: Der Weg vom Internet-Dienst in die Domäne ist hier kein Zufall, sondern Design. Ein SharePoint-Server ist selten ein isolierter Webserver – er hängt an Dienstkonten, oft mit mehr Rechten als nötig, und steht im selben Active Directory wie alles andere. Wer ToolShell nur als „SharePoint-Problem“ abgehakt hat, hat das eigentliche Thema übersehen. Aus Identity-Sicht gilt: Der Machine-Key-Diebstahl macht Patchen allein wertlos. Wer gepatcht, aber die Schlüssel nicht rotiert hat, lässt eine gültige Signatur beim Angreifer liegen.
Zweitens zeigt der SYSVOL-Trick, wie wenig Angreifer für die Breite brauchen. Sie benötigen keine eigene Verteilsoftware, wenn die Domäne eine mitbringt. In meinen Jahren mit Active Directory habe ich SYSVOL-Rechte selten in einem Audit gesehen – Gruppenrichtlinien ja, aber nicht die Frage, wer dort eigentlich schreiben darf. Genau das ist der blinde Fleck. Und dass legitime Werkzeuge wie VS Code Tunnel den Fernzugriff tragen, macht die Erkennung über Dateisignaturen praktisch wirkungslos.
Konkret: vier Maßnahmen, die wirklich etwas ändern
- ASP.NET-Machine-Keys rotieren, wenn ein lokaler SharePoint-Server jemals angreifbar war – unabhängig davon, ob du inzwischen gepatcht hast. Danach die Anwendungspools durchstarten. Ohne diesen Schritt bleibt eine gestohlene Signatur gültig.
- SYSVOL-Schreibrechte auditieren. Prüfe, welche Konten dort schreiben dürfen, und richte ein Alarm auf neue ausführbare Dateien in SYSVOL ein. Das ist eine der günstigsten Detektionen überhaupt.
- Massenhaftes Abschalten von Schutzsoftware als Alarm behandeln. Wenn der Endpunktschutz auf Dutzenden Hosts innerhalb von zwei Stunden verstummt, ist das kein Betriebsproblem, sondern ein Vorfall. Tamper Protection aktivieren, Ausfälle zentral zählen – und zusätzlich die Microsoft-Treiber-Blockliste (HVCI bzw. Vulnerable Driver Blocklist) erzwingen, damit das Abschalten nicht über einen signierten, angreifbaren Treiber läuft.
- VS-Code-Tunnel bewusst regeln. Entweder zulassen und protokollieren oder blockieren. Ein unbemerkter Dienst namens
code-insiders.exeauf einem Server ist kein Entwickler-Komfort.
Wer die SharePoint-Seite erst nachziehen muss: Den aktuellen Ausnutzungsstand haben wir in SharePoint CVE-2026-65660: erst Spoofing, jetzt aktiv ausgenutzt beschrieben. Und weil Warlock am Ende verschlüsselt: Eine Sicherung, die der Angreifer mitverschlüsseln kann, ist keine. Welche Offline- und Hardware-verschlüsselten Medien dafür taugen, haben wir im Ratgeber zu verschlüsselten USB-Sticks und externen SSDs zusammengetragen.
Symantec ordnet die Häufung in portugiesisch- und spanischsprachigen Ländern selbst als unklar ein: Es könne opportunistisch sein, weil dort exponierte, ungepatchte Server stehen, oder gezielte Beauftragung. Diese Offenheit ist redlich – und für deutschsprachige Betriebe keine Entwarnung, sondern nur ein Hinweis darauf, dass die Auswahl der Opfer an der Exponierung hängt.
Quellen
- Symantec Threat Hunter Team: Warlock Ransomware – Critical Infrastructure
- Industrial Cyber: Symantec reports Warlock ransomware group targets water, telecom, government organizations (2. Oktober 2026)
- Broadcom Protection Bulletin: Warlock ransomware targets water and telecom operators
- Symantec: ToolShell – SharePoint Zero-Day CVE-2025-53770
- CISA: Urges SharePoint Hardening After New Exploitations (Juli 2026)
- CSA Singapore AD-2025-016: ToolShell-Remediation inklusive Rotation der ASP.NET-Machine-Keys
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung