Storm-2603 invadiu SharePoint sem deixar arquivos, explorando o ToolShell, e tentou implantar o ransomware Warlock

A Kaspersky descreve uma intrusão em duas fases contra um SharePoint on-premises. Em 20 de dezembro, uma única requisição HTTP a um endpoint administrativo ligado ao componente ToolPane, vinda de infraestrutura da ONYPHE, checou se o host era vulnerável à CVE-2025-53770 (ToolShell). Diferente de Shodan e Censys, que só listam ativos e cruzam com dados públicos de vulnerabilidades, a ONYPHE testa se o alvo é vulnerável, injetando um marcador inofensivo. Depois veio um silêncio de três dias, que impediu a correlação do probe com a atividade posterior e fez o evento ser tratado como baixa prioridade. Em 24 de dezembro, na véspera de Natal, a cadeia completa de RCE rodou no w3wp.exe.

O webshell nunca foi gravado em disco. Ele foi carregado no runtime do ASP.NET, registra um VirtualPathProvider customizado e só executa quando recebe um User-Agent específico, ficando dormente nos demais casos. Some quando o application pool é reciclado ou o IIS reinicia. A comunicação usa protocolo binário próprio com ofuscação XOR e um túnel suo5 para alcançar hosts internos. Há módulos para download de arquivos, instalação de MSI, enumeração de usuários, processos e conexões, e criação de contas administrativas via SAM RPC. A escalada para SYSTEM usa a técnica do EfsPotato, viável porque o processo do IIS tem SeImpersonatePrivilege. O MSI instalado em seguida era o Velociraptor 0.73.4.0, vulnerável à CVE-2025-6264. A origem do ataque foi um nó da rede Safing Privacy Network (SPN), que dificulta rastrear o IP real.

O CEVIU já havia ligado o Storm-2603 ao Warlock. Em 5 de outubro de 2026, a matéria "Ataques Ransomware Warlock Ameaçam Infraestruturas Críticas na Península Ibérica" informou que o grupo, também identificado como Longlegs e Storm-2603, intensificou a atividade contra quatro grandes organizações de língua espanhola ou portuguesa em dois meses. O caso atual acrescenta o detalhe técnico do acesso inicial sem arquivos via ToolShell, que a cobertura anterior não trazia.

Para quem opera SharePoint on-premises, a leitura é que depender de monitoramento de arquivos não basta contra esse tipo de implante. A recomendação da Kaspersky é caçar caminhos do IIS resolvidos na configuração sem arquivo correspondente em disco (eventos ETW 25 e 47 do IIS-Configuration). Também vale tratar um probe isolado de scanner como possível primeira fase, sobretudo antes de feriados com equipe reduzida.