กลุ่มแฮกเกอร์รีส์แวร์ Warlock ที่เชื่อมโยงกับจีน โจมตีองค์กรน้ำสะอาด ผู้ให้บริการโทรคมนาคม หน่วยงานราชการ และมหาวิทยาลัยผ่านช่องโหว่ SharePoint ตั้งแต่เดือนมิถุนายน 2025 โดยใช้ช่องโหว่ Zero-day ของ Microsoft ชื่อ ToolShell (CVE-2025-49704, CVE-2025-53771) ซึ่งถูกใช้ในหลายประเทศที่พูดภาษาโปรตุกีสและสเปน กลุ่มแฮกเกอร์รัฐบาล Linen Typhoon และ Violet Typhoon ถูกค้นพบใช้ช่องโหว่นี้ในโจมตี ผู้โจมตีติดransware บนเซิร์ฟเวอร์กว่า 33 ตัว และใช้เทคนิค BYOVD ปิดการตรวจจับความปลอดภัย รวมถึงเครื่องมือ NetExec สำหรับสำรวจ Active Directory Microsoft และ Symantec ระบุว่าช่องโหว่ SharePoint ยังคงเป็นช่องทางเข้าระบบหลัก แม้จะผ่านมาเกินหนึ่งปีตั้งแต่ Warlock เริ่มโจมตี รายงานชี้ว่าผู้โจมตีใช้ Visual Studio Code ในการเชื่อมต่อเครื่องที่ถูกเจาะ และวางมัลแวร์ใน SYSVOL ซึ่งเป็นตำแหน่งที่เก็บไฟล์สาธารณะทั่วเครือข่าย ผู้โจมตีใช้เทคนิค AV/EDR-killing เพื่อปิดการตรวจจับ และโจมตีระบบภายในสองชั่วโมงหลังเข้าถึงระบบ การโจมตีทำให้ระบบขององค์กรถูกติดransware Warlock บนเครื่องเซิร์ฟเวอร์กว่า 33 ตัว ผู้โจมตีใช้เครื่องมือ AV/EDR-killing ผ่านเทคนิค BYOVD เพื่อปิดการตรวจจับความปลอดภัย และใช้ Visual Studio Code ในการเชื่อมต่อเครื่องที่ถูกเจาะ รวมถึงใช้ NetExec สำหรับการสำรวจ Active Directory Microsoft และ Symantec ระบุว่าช่องโหว่ SharePoint ยังคงเป็นช่องทางเข้าระบบหลักที่น่ากังวล แม้จะผ่านมาเกินหนึ่งปีตั้งแต่ Warlock เริ่มโจมตี รายงานยังให้รายละเอียดชี้วัดการโจมตี (Indicators of Compromise) ที่ใช้ในเหตุการณ์ดังกล่าว ช่องโหว่ ToolShell ที่ใช้ในเหตุการณ์นี้มีหลาย CVE รวมถึง CVE-2025-49704 และ CVE-2025-53771 ซึ่งถูกใช้โดยกลุ่มแฮกเกอร์รัฐบาลที่มีชื่อว่า Linen Typhoon และ Violet Typhoon
สรุปด้วย MAF Local AI · เนื้อหาต้นฉบับเป็นของแหล่งข่าว