30 секунд
Symantec описала атаки связанной с Warlock группы Longlegs минимум на четыре организации за два месяца, включая двух операторов критической инфраструктуры. В одном разобранном эпизоде средство отключения защиты зафиксировано минимум на 40 машинах, а Warlock — минимум на 33. Отчёт связывает первоначальный доступ с SharePoint и показывает роль обычной доменной репликации; эти числа относятся к конкретному проникновению, а не ко всем жертвам.
Подробнее
В отчёте от 1 октября 2026 года команда Symantec и Carbon Black описала деятельность группы Longlegs, связанной с шифровальщиком Warlock. За два месяца исследователи отмечают как минимум четыре атакованные организации: водоснабжение, телекоммуникационного оператора, региональный орган власти и университет. Первоначальный доступ в описанных кампаниях связывается с уязвимостями локального SharePoint.
Отдельный подробный разбор касается одной организации критической инфраструктуры. По данным отчёта, средство отключения защиты запустили минимум на 40 узлах примерно за два часа. Затем файлы Warlock обнаружили минимум на 33 узлах. Доставку части файлов исследователи связали с обычной репликацией доменного ресурса SYSVOL, а не с отдельной передачей на каждую машину.
Отчёт также описывает злоупотребление туннелем Visual Studio Code для удалённого доступа. Легальные инструменты и штатные механизмы домена здесь выступают частями атаки. Точная личность использованного уязвимого драйвера в подробно разобранном эпизоде оставалась неизвестной; её нельзя автоматически подставлять из других наблюдений группы.
Что это значит
Распространение опиралось на уже работающую инфраструктуру
В описанном Symantec эпизоде масштабирование Warlock не сводилось к свойствам самого шифровальщика. После получения доступа атакующие использовали общую инфраструктуру домена: обычная репликация помогала доставлять подготовленные файлы дальше по сети. Это другой этап, чем первоначальная уязвимость SharePoint.
Такой разбор объясняет ценность последовательности событий. Имя легального приложения или штатного процесса не определяет цель его использования. При этом числа 40 и 33 описывают один наблюдавшийся случай и не дают основания рассчитывать по ним размер всех атак Longlegs.
