Хакеры взломали водоканал через SharePoint и за два часа убили антивирусы на сорока машинах

22 июля на SharePoint-сервере водоканала завёлся вебшелл – одна ASPX-страница в системном каталоге LAYOUTS. Через девять дней антивирусы на 40 машинах были мертвы, а шифровальщик Warlock работал на 33. Между этими двумя точками – разведка домена, подделанный ViewState, три MSI-пакета из двух облаков, тоннель через VS Code и штатная репликация Active Directory, разнёсшая ransomware быстрее любого push-инструмента.

Группу, стоящую за Warlock, Symantec отслеживает под именем Longlegs. Microsoft ведёт её как Storm-2603; в более ранних системах она проходила как CL-CRI-1040, CamoFei и ChamelGang – пять алиасов на одну группу с китайскими корнями. За последние два месяца Longlegs атаковала минимум четыре организации – водоканал, телеком-оператор, региональное правительство и университет – в португало- и испаноговорящих странах Европы, Африки и Латинской Америки. Symantec Threat Hunter Team задокументировала вторжение по часам – и оставила достаточно артефактов, чтобы оценить каждое решение операторов от первого вебшелла до последнего зашифрованного хоста.

---