Un ransomware che prende di mira SharePoint on‑premise
Un gruppo criminale legato al ransomware Warlock continua a penetrare reti aziendali e istituzionali sfruttando server Microsoft SharePoint on‑premise. Secondo il report citato, l'attività del gruppo si estende da giugno 2025 a ottobre 2026 e include intrusione, disattivazione delle difese e distribuzione del payload ransomware su un numero significativo di macchine.
Cosa è emerso dall'indagine tecnica
Nel caso documentato, gli aggressori hanno piazzato una web shell il 22 luglio 2026; in pochi giorni hanno spento le difese su almeno 40 host e distribuito Warlock su almeno 33 sistemi entro il 31 luglio. Il punto d'ingresso è stato individuato in un server SharePoint non aggiornato. Il fenomeno è collegato alla catena di exploit nota come ToolShell, emersa oltre un anno fa e tuttora sfruttata per ottenere accesso e persistenza.
- Vittime documentate: azienda idrica, operatore di telecomunicazioni, ente governativo regionale, università.
- Meccanismi d'attacco: web shell, uso di machine key, manipolazione di SYSVOL e sfruttamento di driver vulnerabili come K7RKScan.sys.
- Superficie esposta: server SharePoint on‑premise non aggiornati e configurazioni con difese insufficienti.
Perché riguarda anche le organizzazioni italiane
Il report sottolinea che la tecnica d'intrusione e il vettore di attacco toccano infrastrutture diffuse: migliaia di aziende e pubbliche amministrazioni nel mondo e in Europa mantengono installazioni SharePoint locali, spesso critiche per i servizi interni. La persistenza di ToolShell dimostra che una patch rilasciata in passato non è sempre sufficiente, se non applicata rapidamente o se le difese non sono configurate correttamente.
Indicazioni pratiche e punti deboli evidenziati
Il dossier suggerisce alcuni controlli rapidi che le team IT dovrebbero eseguire, tra cui ispezioni dei server SharePoint, verifiche su SYSVOL, controllo di eventuali web shell e monitoraggio dei driver kernel sospetti (il report cita K7RKScan.sys). Gli analisti avvertono che la catena ToolShell continua a fornire agli aggressori un percorso efficace per compromettere reti anche ben difese se la superficie on‑premise resta scoperta.
| Voce | Dato |
|---|---|
| Host con difese disattivate | almeno 40 |
| Sistemi su cui è stato distribuito Warlock | almeno 33 |
| Periodo della cronologia investigata | giugno 2025–ottobre 2026 |
Contesto e attori collegati
Il report associa l'attività di Warlock a gruppi e campagne criminali indicati con nomi diversi nella letteratura di sicurezza (tra cui Longlegs, Storm‑2603 e Gold Salem) e mette in rilievo come attacchi contro infrastrutture critiche possono impattare servizi essenziali. Gli incidenti documentati nei mesi precedenti includono un'azienda idrica, un provider di telecomunicazioni, un ente regionale e un ateneo, a indicare una preferenza per obiettivi con elevata dipendenza da sistemi di collaborazione e file sharing.
Per le amministrazioni pubbliche e le aziende la raccomandazione implicita è di considerare SharePoint on‑premise come una superficie d'attacco prioritaria: aggiornamenti rapidi, controllo delle web shell e monitoraggio dei componenti di sistema a livello kernel sono azioni necessarie per ridurre il rischio di compromissione e diffusione del ransomware.
