O grupo de ransomware Warlock, vinculado à China, está explorando falhas de segurança no Microsoft SharePoint para comprometer operadores de infraestrutura crítica, incluindo empresas de energia, telecomunicações e serviços públicos. O ataque foi revelado por pesquisadores da Symantec e Carbon Black, que documentaram a campanha ativa do grupo nos últimos meses. Esta é uma das campanhas mais sofisticadas de ransomware observadas nos últimos anos, com foco específico em setores que sustentam a operação essencial da sociedade.
Os pesquisadores descobriram que o Warlock está utilizando falhas não corrigidas no SharePoint para obter acesso inicial às redes das vítimas. Uma vez dentro, o grupo implementa técnicas avançadas de persistência, move-se lateralmente pela rede e finalmente implanta ransomware para criptografar sistemas críticos. O que torna essa campanha particularmente perigosa é o alvo: operadores de infraestrutura crítica. Comprometer sistemas de energia, telecomunicações ou serviços públicos pode ter consequências físicas reais, desde apagões até interrupção de serviços essenciais.
A Symantec e a Carbon Black alertam que o grupo tem demonstrado capacidade de operar em redes complexas e de alta segurança, o que sugere um nível de sofisticação acima da média. Os pesquisadores observaram que o Warlock utiliza técnicas de evasão de detecção, como ofuscação de payloads e manipulação de logs, para manter sua presença nas redes comprometidas por períodos prolongados antes de executar o ransomware.
Para organizações que utilizam SharePoint, a recomendação é garantir que todas as atualizações de segurança estejam aplicadas, especialmente as que corrigem falhas de autenticação e controle de acesso. Os pesquisadores também recomendam monitoramento de atividade suspeita, como conexões anômalas, acesso a pastas sensíveis e tentativas de movimentação lateral. A implementação de segmentação de rede e princípio de menor privilégio são medidas defensivas eficazes contra esse tipo de ataque.
A campanha do Warlock é um lembrete de que ransomware não é mais apenas um problema de empresas privadas. Ataques a infraestrutura crítica podem ter impacto social e econômico significativo, e os atores estão cada vez mais sofisticados em suas técnicas de exploração. O grupo Warlock tem sido particularmente ativo em 2026, com campanhas documentadas contra múltiplos setores da economia.
Para o Brasil, o alerta é relevante porque muitas empresas de infraestrutura utilizam SharePoint em seus ambientes corporativos. A recomendação é revisar as configurações de segurança, aplicar patches pendentes e fortalecer os mecanismos de detecção de intrusão. A prevenção é sempre mais eficaz e menos custosa do que a resposta a um incidente de segurança, e o custo de uma parada em infraestrutura crítica pode ser incalculável.
Os pesquisadores da Symantec e Carbon Black continuam monitorando a campanha e publicando updates sobre novas variantes de exploração. Organizações devem ficar atentas a sinais de atividade maliciosa e considerar a contratação de serviços de segurança gerenciada para fortalecer sua postura de defesa. A colaboração entre empresas do mesmo setor para compartilhar indicadores de comprometimento (IOCs) também é uma estratégia eficaz para se defender contra campanhas coordenadas como esta.
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.