Die Warlock-Ransomware zeigt im Oktober 2026 erneut, wie gefährlich ungepatchte oder falsch abgesicherte On-Premises-SharePoint-Systeme sein können. Aktuelle Berichte von Symantec und Sicherheitsmedien beschreiben Angriffe auf Betreiber kritischer Infrastruktur, Telekommunikationsunternehmen, Behörden und Bildungseinrichtungen.
Besonders relevant ist nicht nur die Ransomware selbst, sondern die Angriffskette dahinter. Die Täter nutzen öffentlich erreichbare SharePoint-Systeme als Einstiegspunkt, bauen anschließend dauerhaften Zugriff auf und bewegen sich mit legitimen Administrationswerkzeugen durch Windows-Umgebungen.
Warum SharePoint für Angreifer attraktiv ist
On-Premises-SharePoint steht häufig tief im Unternehmensnetz. Ein erfolgreicher Angriff auf einen solchen Server kann deshalb deutlich gefährlicher sein als die Kompromittierung eines isolierten Webservers. SharePoint besitzt Zugriff auf interne Dienste, Authentifizierungsmechanismen und Konfigurationsdaten.
Der hinter Warlock beobachtete Akteur, der unter anderem als Longlegs oder Storm-2603 verfolgt wird, hat bereits in der Vergangenheit SharePoint-Schwachstellen genutzt. Laut aktuellen Berichten bleibt diese Angriffsmethode weiterhin wirksam, insbesondere bei Systemen, die Sicherheitsupdates nicht konsequent erhalten haben.
Die Angriffskette: Vom Webserver bis zur Domäne
Nach der initialen Kompromittierung wurden in untersuchten Fällen Webshells in SharePoint-Verzeichnissen platziert. Dadurch erhalten Angreifer einen Remote-Zugriff auf den Server und können weitere Schritte vorbereiten.
Ein besonders kritischer Punkt ist der Zugriff auf ASP.NET Machine Keys. Werden diese Schlüssel gestohlen, können Angreifer unter bestimmten Voraussetzungen gültig signierte Daten erzeugen und damit Code im Kontext der Anwendung ausführen. Das zeigt, warum nach einer SharePoint-Kompromittierung ein einfaches Patchen möglicherweise nicht ausreicht: Schlüssel und Geheimnisse können bereits abgeflossen sein.
Living off the Land: Wenn legitime Tools missbraucht werden
Moderne Angreifer versuchen zunehmend, möglichst wenig auffällige Spezialsoftware einzusetzen. Stattdessen nutzen sie Werkzeuge, die Administratoren selbst verwenden. Das wird als „Living off the Land“ bezeichnet.
Bei Warlock-Aktivitäten wurde unter anderem die Tunnel-Funktion von Visual Studio Code missbraucht. Dadurch kann Remote-Zugriff entstehen, der im Netzwerk eher wie legitimer Entwickler- oder Administratorverkehr aussieht.
Für Security-Teams bedeutet das: Eine reine Blockliste bekannter Malware-Dateien reicht nicht. Entscheidend ist die Erkennung ungewöhnlicher Nutzung legitimer Tools, neuer Dienste, verdächtiger Tunnel und unerwarteter Prozesse auf Servern.
Warum SYSVOL in einem Ransomware-Angriff so gefährlich ist
Besonders alarmierend ist die beobachtete Ablage von Ransomware-Komponenten im SYSVOL einer Active-Directory-Domäne. SYSVOL wird zwischen Domain Controllern repliziert und ist für Domänenmitglieder lesbar. Wird ein kompromittiertes Administratorkonto verwendet, kann dieser zentrale Mechanismus missbraucht werden, um Schadsoftware breit in einer Windows-Umgebung zu verteilen.
Das macht deutlich, dass ein SharePoint-Einbruch schnell zu einem Active-Directory-Problem werden kann. Die Grenzen zwischen Web-Security, Server-Security und Identity-Security existieren in realen Angriffen kaum.
Was Administratoren jetzt prüfen sollten
- Patch-Stand: Alle unterstützten SharePoint-Versionen müssen vollständig aktualisiert sein.
- Internet-Exposition: Ist ein On-Premises-SharePoint wirklich direkt aus dem Internet erreichbar, sollte diese Architektur kritisch überprüft werden.
- Machine Keys: Nach einer bestätigten Kompromittierung müssen relevante Schlüssel und Secrets rotiert werden.
- Webshell-Indikatoren: SharePoint-Verzeichnisse sollten auf unerwartete ASPX-Dateien und Veränderungen geprüft werden.
- Admin-Tools überwachen: VS Code Tunnels, PowerShell, PsExec und andere Fernzugriffs- oder Deployment-Tools benötigen Baselines und Monitoring.
- SYSVOL überwachen: Neue ausführbare Dateien oder ungewöhnliche Änderungen in replizierten Verzeichnissen sollten sofort untersucht werden.
- EDR-Schutz: Versuche, Security-Software oder Treiber zu deaktivieren, müssen alarmiert und blockiert werden.
Patchen ist notwendig, aber nicht die ganze Antwort
Wenn eine Schwachstelle aktiv ausgenutzt wird, ist Patchen der erste Schritt. Bei bereits kompromittierten Systemen muss jedoch davon ausgegangen werden, dass Angreifer Persistenz eingerichtet oder Zugangsdaten gestohlen haben könnten.
Deshalb gehören Incident Response, Credential Rotation, Untersuchung der Logs, Überprüfung privilegierter Konten und gegebenenfalls eine Wiederherstellung aus vertrauenswürdigen Quellen zum vollständigen Vorgehen.
Fazit
Warlock ist ein gutes Beispiel dafür, dass ein einzelner verwundbarer Enterprise-Server zum Ausgangspunkt eines domänenweiten Angriffs werden kann. Besonders Unternehmen mit On-Premises-SharePoint sollten die Systeme nicht wie gewöhnliche Webserver behandeln, sondern als hochkritische Infrastruktur.
Die wichtigste Lehre lautet: Patch-Management, Identity-Security, EDR und Active-Directory-Monitoring müssen als zusammenhängende Schutzschichten gedacht werden.
Autor: Salman Dolatpanah Gortlar
Quellen
- SecurityWeek, 2. Oktober 2026: aktuelle Warlock-Angriffe über SharePoint.
- Symantec Threat Hunter Team, zitiert in aktuellen Analysen zu Longlegs / Storm-2603.
- BleepingComputer, 2. Oktober 2026: Angriffe auf Wasser-, Telekommunikations- und öffentliche Einrichtungen.