Attaque Warlock sur opérateurs d’infrastructure critique

REX Cyber · Veille du 2026-10-01. Faits attribués à Symantec / Carbon Black.

Un groupe chinois, Longlegs, a exploité des vulnérabilités SharePoint pour infiltrer un opérateur d’eau et un fournisseur de télécoms, désactiver les logiciels de sécurité, puis déployer le ransomware Warlock via SYSVOL.

Ce qui s’est passé

• Les attaquants ont installé un webshell sur le serveur SharePoint le 22 juillet 2026, puis exécuté des commandes de reconnaissance sur un second hôte le 24 juillet.
• Ils ont déployé un outil de suppression d’antivirus (a.exe) sur plus de 40 hôtes en moins de deux heures, utilisant un partage réseau interne pour copier et lancer le binaire.
• Le ransomware a été propagé via le partage SYSVOL, qui a répliqué les exécutables run.exe et rune.exe à chaque contrôleur de domaine, assurant une exécution simultanée sur l’ensemble du réseau.

Acteurs et cibles

Acteurs rapportés

Longlegs

Cibles rapportées

Non précisés dans les données de ce rapport.

Relations explicites de renseignement

• Acteurs associés : Longlegs
• Cibles associées : Education ; Energy ; Government and administrations ; Telecommunications

Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.

Date d’incident indiquée par la source : July 22, 2026.

Vulnérabilités associées dans les données

CVE-2025-1055, CVE-2025-49704, CVE-2025-49706, CVE-2025-53770, CVE-2025-53771

Ces associations de renseignement ne prouvent pas que chaque vulnérabilité a été exploitée dans cet incident. Le déroulé ci-dessus précise les faits rapportés par la source.

MITRE ATT&CK

Techniques directement associées au rapport

Le lien au rapport est explicite dans les données de renseignement. Il ne démontre pas, à lui seul, chaque comportement décrit par la fiche ATT&CK.

Répertoire associé aux acteurs et aux malwares

Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.

WarLock

Longlegs

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Les libellés, tactiques et statuts sont complétés par le catalogue officiel ATT&CK consulté le 2026-10-08T07:58:58Z. Un remplacement officiel conserve l’identifiant d’origine de la source et ne crée pas une nouvelle preuve d’incident.

Entités et contexte du rapport

• Secteur : Telecommunications ; alias : Communications, Telecom, Telecommunication, Telecoms ; confiance : 100/100
• Malware : WarLock ; alias : win.warlock ; malware_types : bot ; is_family : True ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Vulnérabilité : CVE-2025-49706 ; confiance : 80/100
• Secteur : Energy ; alias : Natural Resources ; confiance : 100/100
• Secteur : Education ; confiance : 100/100
• Vulnérabilité : CVE-2025-53771 ; confiance : 80/100
• Vulnérabilité : CVE-2025-1055 ; confiance : 50/100
• Vulnérabilité : CVE-2025-49704 ; confiance : 80/100
• Secteur : Government and administrations ; alias : Election, Government, Voting ; confiance : 100/100
• Groupe d’activité : Longlegs ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Vulnérabilité : CVE-2025-53770 ; confiance : 80/100

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

Relations entre les entités nommées

IOC et observables pour la recherche

21 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-08T07:51:58+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Affichage des 20 premières valeurs ; les exports contiennent la liste complète.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-10-01T15:37:42.968Z ; 54 objets publics et 110 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

• Titre source : Warlock Ransomware Attackers Hit Water and Telecom Operators
• Types de rapport : threat-report
• Labels : byovd, critical infrastructure, cve-2025-1055, cve-2025-49704, cve-2025-49706, cve-2025-53770, cve-2025-53771, longlegs, sharepoint exploitation, storm-2603, telecommunications, toolshell, warlock, water utility
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-10-01T15:37:42.968Z
• Modification déclarée par la source : 2026-10-03T04:08:29.377Z
• Import de l’objet de renseignement : 2026-10-03T04:08:26.725Z
• Mise à jour de l’objet de renseignement : 2026-10-03T04:08:29.377Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

Warlock Ransomware Attackers Hit Water and Telecom Operators — Symantec / Carbon Black.