Wenn SharePoint zum Einfallstor wird: Warlock greift kritische Infrastruktur an.

Eine ungepatchte SharePoint-Installation kann nicht nur Dokumente und Teamarbeit gefährden.
Die Ransomware-Gruppe Warlock nutzt Schwachstellen in SharePoint, um in Unternehmensnetze einzudringen und Angriffe auf kritische Infrastrukturen vorzubereiten.

Laut einem aktuellen Bericht von Symantec waren in den vergangenen zwei Monaten mindestens vier Organisationen in portugiesisch- und spanischsprachigen Ländern betroffen: zwei Betreiber kritischer Infrastruktur – ein Wasserversorger und ein Telekommunikationsanbieter –, eine regionale Behörde und eine Universität. Der Fall zeigt, warum SharePoint-Systeme, die direkt aus dem Internet erreichbar sind, besonders sorgfältig abgesichert und aktuell gehalten werden müssen.

Vom SharePoint-Server zur Ransomware

Die Angreifer nutzen Schwachstellen in lokal betriebenen SharePoint-Servern als Einstieg. Dazu gehören die bereits bekannten ToolShell-Schwachstellen. Laut Bericht könnte die Gruppe außerdem weitere, neuere SharePoint-Lücken einsetzen. Welche Schwachstelle im Einzelfall genutzt wurde, lässt sich aus den vorliegenden Angaben jedoch nicht für alle Opfer ableiten.

Nach dem ersten Zugriff installieren die Angreifer sogenannte Webshells. Das sind kleine Programme auf dem Server, über die sie später Befehle ausführen können. Berichten zufolge stehlen sie außerdem ASP.NET-Maschinenschlüssel, die zur Absicherung bestimmter SharePoint-Funktionen dienen und weitere Zugriffe erleichtern können.

Sicherheitssoftware gezielt ausgeschaltet

Der Angriff endet nicht beim kompromittierten Server. In einem Fall setzten die Angreifer ein Werkzeug ein, um die Sicherheitssoftware auf mindestens 40 Systemen zu deaktivieren. Anschließend wurde die Warlock-Ransomware auf mindestens 33 dieser Systeme ausgeführt.

Für die weitere Ausbreitung nutzen die Angreifer unter anderem legitime Verwaltungs- und Entwicklungstools. Laut Symantec zählt dazu auch die Tunnel-Funktion von Visual Studio Code, die unauffälligen Fernzugriff ermöglichen kann. Zudem wurde die Ransomware über den SYSVOL-Ordner der Windows-Domäne verteilt – einen Bereich, der systembedingt auf Domänencontrollern repliziert wird und breit zugänglich sein kann.

Warum der Vorfall relevant ist

Die Angreifer kombinieren gezielte, technisch ausgefeilte Methoden mit dem Geschäftsmodell von Ransomware. Dadurch erhöht sich das Risiko nicht nur für einzelne Server, sondern für ganze Netzwerke: Ein erfolgreicher Einstieg kann zur Deaktivierung von Schutzmaßnahmen und zur Verschlüsselung vieler Systeme führen.

Besonders wichtig ist die Erkenntnis, dass bekannte SharePoint-Schwachstellen auch lange nach ihrer Veröffentlichung eine nutzbare Angriffsfläche bieten, wenn Systeme nicht gepatcht oder anderweitig abgesichert werden. Ein Update allein ist dabei jedoch nicht immer die Lösung: Wurden bereits Webshells, gestohlene Schlüssel oder andere Zugänge eingerichtet, müssen diese zusätzlich gesucht und beseitigt werden.

Was ist zu tun?

• SharePoint-Systeme inventarisieren: Erfassen Sie, welche Server lokal betrieben werden und aus dem Internet erreichbar sind.
• Sicherheitsupdates zeitnah einspielen: Prüfen, ob die eingesetzten SharePoint-Versionen und alle relevanten Komponenten aktuell sind.
• Auf Spuren eines Einbruchs untersuchen: Webshells, unerwartete Dienste, ungewöhnliche Prozesse und verdächtige Änderungen an SharePoint-Dateien prüfen.
• Schlüssel und Zugangsdaten bewerten: Bei möglicher Kompromittierung betroffene Maschinenschlüssel und Anmeldedaten nach einem abgestimmten Incident-Response-Verfahren erneuern.
• Ausbreitung begrenzen: Netzwerke segmentieren, Rechte minimieren und sicherstellen, dass ein kompromittierter Server nicht ungehindert auf andere Systeme zugreifen kann.
• Wiederherstellung vorbereiten: Backups regelmäßig testen und sicherstellen, dass sie vor Manipulation und Verschlüsselung geschützt sind.

Vom Überblick zu wirksamen Maßnahmen

Zunächst analysieren wir Ihre Systeme, Prozesse und Dokumentation, um zu ermitteln, wie SharePoint eingesetzt und abgesichert wird. In einem Workshop betrachten wir Risiken, Zuständigkeiten und mögliche Schutzmaßnahmen – vom Patch- und Berechtigungsmanagement bis zu Notfallabläufen.

Das Ergebnis ist ein Konzept, das zu Ihrer Umgebung und den Anforderungen Ihres Unternehmens passt. Gerne unterstützen wir Sie auch bei der Umsetzung, beim Change-Management und dabei, Sicherheitsmaßnahmen dauerhaft in den Arbeitsalltag zu integrieren.