Die China-zugeordnete Ransomware-Gruppe Warlock hat in den vergangenen zwei Monaten eine Wasserversorgung, einen Telekommunikationsanbieter, eine regionale Behoerde und eine Universitaet kompromittiert -- jeweils ueber SharePoint-Schwachstellen als Einstiegspunkt. In der am besten dokumentierten Intrusion lief die Kette vom 22. bis zum 31. Juli 2026: von der Web-Shell im SharePoint bis zur Domain-weiten Verschluesselung in neun Tagen. Die Analyse stammt von Symantec und Carbon Black, berichtet wurde sie unter anderem von BleepingComputer.

Betroffen sind Betriebe, die einen On-Premises-SharePoint-Server im Netz betreiben. In dem dokumentierten Fall deaktivierten die Angreifer die Schutzsoftware auf mindestens 40 Hosts in etwa zwei Stunden und verschluesselten anschliessend 33 Systeme. Fuer einen Betrieb mit 10 bis 100 Mitarbeitern heisst das konkret: Wenn der SharePoint-Server im Internet erreichbar ist und die ToolShell-Patches aus Juli 2025 nicht eingespielt wurden, ist der Einstiegspunkt exakt derselbe, den Warlock hier genutzt hat. Laut der Analyse auf dev.to ist SharePoint Online nicht betroffen -- es geht ausschliesslich um die On-Premises-Versionen. Die Zielregion lag in portugiesisch- und spanischsprachigen Laendern in Europa, Afrika und Lateinamerika.

Die technische Kette im Detail

ToolShell umfasst vier Schwachstellen: CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 und CVE-2025-53771. Sie wurden im Juli 2025 als Zero-Days ausgenutzt, Microsoft lieferte die Patches noch im selben Monat fuer SharePoint Server Subscription Edition, SharePoint Server 2019 und SharePoint Server 2016. Die Kette ermoeglicht einem unauthentifizierten Angreifer Code-Ausfuehrung auf dem Server.

Cryptika beschreibt die Folgekette im Detail: Eine ASPX-Web-Shell wird im LAYOUTS-Verzeichnis abgelegt, die ASP.NET-Machine-Keys werden extrahiert, um signierte __VIEWSTATE-Payloads zu faelschen. Nachfolgende Malware wird per DLL-Sideloading geladen, Installer kommen ueber legitime Hosting-Dienste wie Catbox und Wasabi. Fuer den Remote-Zugriff installierten die Angreifer Visual Studio Code Insiders als Windows-Dienst und nutzten die eingebaute Tunneling-Funktion. NetExec, ein Open-Source-Pentest-Framework, diente der Active-Directory-Enumeraetion und dem Credential-Spraying. Reconnaissance-Befehle wie whoami, net user /domain und nltest /domain_trusts liefen in den ersten Tagen nach dem Einstieg.

Der kritische Schritt: Ein signierter Treiber K7RKScan mit der Schwachstelle CVE-2025-1055 (betroffen: K7 Security Anti-Malware vor Version 23.0.0.10) wurde per BYOVD-Technik eingesetzt, um EDR- und AV-Prozesse aus dem Kernelraum zu beenden. NIST ordnet die Luecke einem fehlenden Authorization-Check im IOCTL-Handler des Treibers zu. Die Ransomware-Payload -- die Dateien run.exe, rune.exe und how to restore your files.txt -- wurde in den SYSVOL-Share der Domaeine abgelegt und ueber Group Policy bzw. Logon-Skripte auf das gesamte Netz verteilt. Damit wurde die eigene Active-Directory-Infrastruktur zum Verteilkanal.

Was jetzt zu tun ist

1. Pruefen, ob der On-Premises-SharePoint-Server die Patches aus Juli 2025 fuer ToolShell eingespielt hat und ob die ASP.NET-Machine-Keys danach rotiert wurden. Die Microsoft-Guidance sieht neben dem Patch auch einen IIS-Neustart und die Aktivierung von AMSI im Full Mode vor.
2. Den SharePoint-Server aus dem Internet heraus sperren oder hinter einen authentifizierten Layer-7-Proxy legen, wie CISA es empfiehlt. Externen Zugriff auf die Central Administration blockieren.
3. In den SYSVOL-Shares und den SharePoint-LAYOUTS-Verzeichnissen nach fremden Executables und Web-Shells suchen. Pruefen, ob die Endpoint-Schutzloesung den K7RKScan-Treiber ueber die Windows-BLOCKLIST erkennt, und ob Visual Studio Code Insiders als Dienst auf Servern registriert ist.

Das Aergernis an dieser Geschichte: Die Patches lagen seit Juli 2025 bereit, und trotzdem hat die Kette funktioniert -- weil der Server im Internet stand oder die Machine-Keys nie rotiert wurden. Wer jetzt ueberlegt, ob der eigene SharePoint sauber konfiguriert ist, hat damit schon die richtige Frage gestellt.

Wenn Sie moechten, dass wir einmal in Ihre SharePoint-Umgebung und die zugehoerigen Domain-Strukturen schauen, erreichen Sie uns ueber die Kontaktseite.

Beitragsbild: panumas nikhomkhai auf Pexels