Warlock ransomware Storm-2603 vise infrastructures critiques via SharePoint ToolShell

Les faits

Symantec a publié le 1er octobre 2026 un rapport de threat intelligence documentant les activités de Storm-2603, également nommé Longlegs dans la taxonomie Symantec, attribué au développement et à l'opération du ransomware Warlock. Ce groupe, dont l'analyse technique indique un nexus géographique et organisationnel chinois, a compromis au moins quatre organisations depuis août 2026 : une collectivité gestionnaire d'infrastructure hydraulique, un opérateur de télécommunications, un gouvernement régional, et une université. Les victimes identifiées se situent dans des pays lusophones et hispanophones d'Europe, d'Afrique et d'Amérique latine — périmètre cohérent avec des intérêts stratégiques documentés d'acteurs étatiques chinois dans ces régions.

Le vecteur d'intrusion initial repose sur l'exploitation de vulnérabilités SharePoint Server on-premises regroupées sous le nom "ToolShell". Ce terme désigne une chaîne d'exploitation combinant plusieurs failles dans SharePoint Server permettant l'exécution de code arbitraire via l'interface web sans authentification préalable dans les versions non patchées. Storm-2603 utilise cette chaîne pour déposer des webshells persistants dans l'environnement SharePoint, maintenant un accès durable même si la vulnérabilité initiale est corrigée après la compromission.

Une fois le webshell établi, Storm-2603 déploie une séquence post-exploitation méthodique et sophistiquée. Premièrement, les attaquants extraient les clés de machine ASP.NET de la ferme SharePoint — secrets cryptographiques servant à signer les sessions et les ViewState dans les applications ASP.NET. Ces clés peuvent être utilisées pour forger des requêtes malveillantes dans n'importe quelle application ASP.NET de l'organisation utilisant la même clé, amplifiant considérablement la surface d'attaque au-delà de SharePoint.

Deuxièmement, Storm-2603 déploie Velociraptor comme canal de commande et contrôle (C2). Velociraptor est un framework de réponse aux incidents utilisé par les équipes défensives — son utilisation par des attaquants illustre le "living off the land" défensif, où des outils légitimes de sécurité sont détournés pour se fondre dans le trafic normal. Les communications Velociraptor utilisent HTTPS sur le port 443, les rendant difficiles à distinguer du trafic web légitime pour des solutions de détection basées sur les signatures.

Troisièmement, Storm-2603 déploie une technique BYOVD (Bring Your Own Vulnerable Driver) pour désactiver les solutions EDR déployées dans les organisations victimes. Le BYOVD consiste à charger un driver Windows légitime mais vulnérable — souvent un pilote signé par un constructeur matériel — pour exploiter sa vulnérabilité depuis le mode noyau (ring 0) et arrêter les processus de protection EDR qui ne peuvent pas être stoppés depuis l'espace utilisateur. Cette technique, également utilisée par BlackByte et Scattered Spider, contourne efficacement les protections des solutions EDR commerciales modernes.

Une fois les EDR désactivés, Warlock est staged via les partages SYSVOL du domaine Active Directory. SYSVOL est un dossier partagé par tous les contrôleurs de domaine, accessible en lecture à tous les membres du domaine. En plaçant le ransomware dans SYSVOL et en créant une GPO qui lance le binaire au démarrage, Storm-2603 déclenche le chiffrement simultané sur des dizaines d'hôtes avec une seule opération. Symantec documente le déploiement de Warlock sur au moins 33 hôtes lors d'une intrusion unique, témoignant de l'efficacité de cette méthode de propagation.

L'attribution à un nexus chinois repose sur plusieurs éléments convergents : sélection des cibles cohérente avec les intérêts géopolitiques documentés de la Chine dans les régions visées, TTP partiellement partagées avec d'autres APT attribués à la Chine (Storm-0558, Volt Typhoon), horaires d'activité des opérateurs correspondant à des fuseaux asiatiques, et fragments de code dans Warlock présentant des similitudes avec des outils précédemment attribués à des acteurs chinois. Symantec maintient une attribution avec un niveau de confiance "modéré" plutôt qu'"élevé" en l'absence de preuves directes d'affiliation gouvernementale formelle.

Le ciblage d'une infrastructure hydraulique mérite une attention particulière. Les réseaux de distribution d'eau font partie des infrastructures critiques les plus sensibles : une perturbation des systèmes SCADA de contrôle peut avoir des conséquences directes sur la sécurité publique. L'utilisation du ransomware par un acteur APT étatique contre des infrastructures critiques peut servir à la fois à générer des revenus, perturber les cibles, et masquer les objectifs réels d'espionnage dans le bruit d'un incident ransomware classique — une stratégie hybride de plus en plus documentée.

Impact et exposition

Les organisations des secteurs eau, énergie, télécoms, santé et gouvernement utilisant SharePoint Server on-premises non patché sont directement exposées. SharePoint Online (Microsoft 365) n'est pas affecté par ces vecteurs. Les déploiements on-premises persistent dans de nombreuses organisations françaises pour des raisons réglementaires (données souveraines, contraintes OIV) ou de compatibilité legacy, créant une surface d'attaque persistante si le patch management n'est pas rigoureux.

Recommandations

• Patcher SharePoint on-premises immédiatement : appliquer toutes les mises à jour Microsoft SharePoint publiées depuis 2024, en particulier celles traitant les vulnérabilités ToolShell
• Auditer les webshells existants : utiliser les outils Microsoft de détection de webshells pour vérifier si des webshells ont déjà été déposés dans votre environnement SharePoint
• Rotationner les clés de machine ASP.NET immédiatement et les stocker dans un gestionnaire de secrets plutôt qu'en clair dans les fichiers de configuration
• Activer la détection BYOVD : configurer l'EDR pour bloquer le chargement de drivers figurant sur les listes de drivers vulnérables connus (maintenues par LOLBAS et les éditeurs EDR)
• Surveiller SYSVOL : mettre en place des alertes sur la création ou modification de fichiers dans SYSVOL par des comptes non-administrateurs de domaine