Warlock深挖：一支疑似中国背景勒索团伙的来历与攻击链

原创

AI安全工坊
AI安全工坊

AI安全工坊

2026年10月2日 20:27
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Warlock深挖：一支疑似中国背景勒索团伙的来历与攻击链

Warlock背后，是一支被安全厂商归为中国背景的勒索团伙。微软称其为Storm-2603，Symantec称其为Longlegs。微软对其位于中国的判断为中等置信度；Symantec使用China-nexus，强调与中国的关联。公开报告尚未证实国家指挥关系。

这支团伙在2025年利用SharePoint漏洞受到关注。2026年10月1日，Symantec又披露了它针对水务、电信、地方政府和高校的近期攻击。结合此前的调查，能够看到攻击者持续使用和改进控制工具、混用不同加密程序，并在不同勒索活动中保留相同联络标识。

这些材料显示，控制工具和勒索联络可以跨品牌延续，加密程序则可以混用。 七月的一宗详案提供了另一个视角：攻击者在两台SharePoint服务器上反复验证执行通道，随后为同一个域账号增加其他主机的本地管理员权限，最终集中投放勒索软件。

1. 一张被盗证书，把调查带回更早的攻击

Warlock作为勒索品牌在2025年6月出现。它背后的攻击能力究竟从哪里来，Symantec在2025年8月的两次调查中找到了线索。

一家中东工程公司和一家美国公司遇袭，攻击者都部署了定制的防护破坏工具。这些工具使用同一张被盗证书签名，证书主体名是coolschool。2022年已出现带该证书签名的Cobalt Strike和BYOVD（利用脆弱驱动的攻击）相关恶意程序；CatB勒索软件也被发现使用同一证书签名。

证书的意义在于把调查从“都用了某种工具”推进到了“使用过同一份签名资源”。Cobalt Strike、7-Zip这些公共工具被许多攻击者使用，辨识力有限；带有同一被盗证书签名的恶意程序跨年出现，则需要解释这些签名资源之间的关联。

至少存在两条解释：部分操作者保留了旧资源并继续使用；或者证书私钥、已经签名的工具在不同攻击者之间流转。两者都会留下相同证书，却对应不同的组织关系。

TeamT5在HITCON 2023发表的CamoFei研究，提供了更早的对照。该团队把相关活动追到2019年底；其CatB案例还出现了MSDTC加载方式、相似解码逻辑、证书和图标特征的重合。MSDTC本是Windows的分布式事务协调服务，在这些攻击中被用来加载恶意DLL。这些特征把CatB与TeamT5研究的CamoFei活动联系起来。

这仍然不是一份组织改名表。CamoFei、ChamelGang是较早的活动名称，Longlegs、Storm-2603是厂商对当前攻击者的追踪名称；Unit 42则把自己追踪的CL-CRI-1040与Storm-2603高置信度对应起来。后一个判断不能直接套用到所有历史名称上。

更早的调查能说明相关攻击能力有多复杂。Positive Technologies在2021年的ChamelGang事件中，记录了攻击者从子公司JBoss漏洞进入，再利用母子公司网络连接和弱管理员密码进入母公司，针对不同网络条件分别使用HTTPS和SMB通信，之后植入IIS后门。那次调查围绕数据窃取展开。

这里的历史联系有两段：Warlock事件中的防护破坏工具，通过同一张coolschool证书连到CatB相关材料；TeamT5发现的代码、加载和图标特征，再把CatB放回较早的CamoFei活动中。2021年的入侵过程提供的是能力背景，通用的横向移动或后门行为不足以单独确认同一攻击者。

公开调查已经追到跨年的恶意工具和签名资源，但尚无成员资料能确认人员延续。Symantec据此推测，部分或全部操作者可能至少从2019年开始活动；这一推测涉及人员活动史，并未确定Warlock的成立时间。

2. 控制工具、加密程序和勒索账号，分别延续了什么

到了2025年的材料，组织关系的证据更靠近实际勒索活动。

Unit 42从调试路径识别出Project AK47工具集：AK47C2包含DNS、HTTP后门，AK47一侧则包含加载器和勒索组件。研究者观察到三月到四月的后门通信协议迭代，也发现过只生成勒索信、尚不能加密的早期原型。

Unit 42官方图：Project AK47工具结构

图1：Unit 42原报告图3。上部为AK47C2控制组件，下部为AK47相关工具。报告完整网址见文末。

这里可见的是持续开发控制组件的能力，而不只是下载一份现成加密程序。后门能接收任务，加载器能启动后续程序，两者让攻击者可以更换最后投放的载荷，保留前面的控制过程。

Check Point沿一个C2域名回查，把相关活动追到2025年3月。调查将DNS、HTTP后门与LockBit Black、Warlock／X2anylock投送联系起来；在一个MSI安装包中，还发现了多种勒索载荷和防护破坏组件。不同载荷由此被组合进同一个投放包。

为什么同时放入多个加密程序，公开材料没有给出确定答案。可以确认的技术后果是：只按文件后缀给事件分类，会把同一投放过程拆成几个看似独立的家族；只拦住其中一个加密程序，也不能代表另外的载荷和后门已经消失。

勒索联络账号提供了另一类联系。Unit 42发现，AK47勒索信里的Tox标识，与LockBit平台账号wlteaml以及Warlock站点截图中的标识相同。这比“使用相近的代码”更接近实际勒索过程，因为它把不同程序留下的受害者联络入口连在了一起。

Unit 42官方图：AK47、LockBit与Warlock的活动关联

图2：Unit 42原报告图11。同一Tox标识出现在AK47勒索信、LockBit账号记录和Warlock站点材料中。

三种关系需要分别理解：

表1：依据Trend Micro与Unit 42分析整理。代码来源、合作账号、联络标识分别回答不同问题。

时间线也有一个尚未解开的缺口：相关LockBit样本在2025年4月16日首次提交到VirusTotal，wlteaml账号却在4月22日才注册。首次提交时间不等于制作或入侵时间，Unit 42也没有解释这一差异。这些材料尚未还原出相关攻击者参与LockBit体系、使用多种勒索程序和启用Warlock名称的完整过程。

2025年8月美国企业的事件又补上一条现场联系：Symantec同时发现.x2anylock加密后缀与自称Warlock的勒索信。工具、账号和现场材料由此相互补充。

这些证据支持的判断是：相关攻击者把定制控制组件、复用的勒索程序和延续的联络渠道组合在一起。由谁编写、谁执行入侵、谁负责谈判，公开调查还不能划出内部岗位；但已经足以说明，仅按勒索软件名称追踪会漏掉活动之间的联系。

3. 逐利判断，与旧窃密活动的联系并不冲突

Unit 42在2025年的调查中，对CL-CRI-1040出于经济动机活动给出高置信度判断。依据包含实际勒索载荷、合作账号和面向受害者的联络材料。就当前调查到的勒索活动而言，逐利是有直接证据支持的解释。

较早的ChamelGang、CamoFei相关材料，则包含数据窃取与勒索两种场景。SentinelLabs和Recorded Future在2024年的联合研究中，把CatB样本、加密文件、带机构域名的注册表资料，与巴西政府对2022年事件的公开答复进行比对，提出ChamelGang关联判断；该研究对所分析的ChamelGang入侵采用中等置信度。政府确认事件，并不等于政府确认了这个归因。

同一研究在2023年的政府和航空机构入侵中，没有观察到勒索部署。这提供了不同任务的线索，但“没有观察到”仍受调查可见性限制。

Symantec在2025年据此类历史联系提出一种解释：部分攻击者可能承接窃密任务，同时通过勒索牟利。它回答的是较长历史中的能力和任务关系，与Unit 42对当前勒索活动的逐利判断处于不同层面。

这些历史联系究竟来自人员延续，还是工具与签名资源流转，仍缺少能对应具体操作者、任务和时间的证据。数据窃取也可以服务于勒索施压，单凭外传行为不足以认定间谍任务。现有材料支持Warlock相关攻击的逐利判断，也保留了与旧窃密活动的资源联系，尚未证实这支团伙在2026年以勒索掩护窃密。

4. 七月详案：从SharePoint落点到多主机控制

Symantec公开的2026年七月个案，能追到具体主机、文件和进程行为。以下沿用报告的主机编号：1号、2号机是SharePoint服务器，3号、4号、5号机是随后出现异常授权的其他主机。攻击从哪一台漏洞服务器开始、账号如何失窃，公开记录仍有缺口；已经披露的动作则可以逐段还原。

7月22日：在SharePoint页面目录落下WebShell

1号机出现了layout2sp.aspx。原始遥测记录的是PowerShell将Base64编码内容解码成字节，再写入SharePoint目录；末端路径为：

...\\web server extensions\\14\\template\\layouts\\layout2sp.aspx

文件由PowerShell写入SharePoint的LAYOUTS目录，页面访问与应用进程行为由此成为相邻的调查环节。路径中的14是所见目录的一部分，实际运行版本仍需另行确认。

Symantec对这组近期活动的概述还指出，攻击者会向多个SharePoint版本的LAYOUTS目录放置WebShell，用于取得农场的ASP.NET机器密钥。这里需要分清，多个版本目录是厂商对相关活动的总体观察；七月个案公开的是上述具体落点。7月22日也是首次可见恶意活动，并非已确定的入侵起点。

7月24日：侦察账号和域关系，部署侧载组件

2号机随后出现net user /domain和whoami，分别查询域账号与当前执行身份。同期还记录到nltest /domain_trusts域信任侦察，但报告没有明确这一动作所在的主机。枚举域信任，也不代表跨域入侵已经成功。

同一天，攻击者删除了两台机器Public用户目录和ProgramData中的若干数字命名文件，其中还包括doexeloc.dll。随后又有侧载组件落地：

表2：根据Symantec遥测整理。报告判断2号机的文件组合疑似用于DLL侧载，没有逐一披露两个EXE与两个DLL之间的实际加载对应关系。

侧载将恶意执行藏在程序的DLL加载过程中。1号机上“SharePoint工作进程释放EXE与DLL”的关系，比孤立文件名更有调查价值：它把Web应用执行与后续组件投放接了起来。2号机则出现了先清理文件、再部署组件的过程；Symantec将删除动作解释为可能清理早期落地痕迹，并未据此认定入侵已经结束。

7月27日至28日：验证执行通道，再利用ViewState执行

7月27日，2号机通过PowerShell向oastify[.]com下的一个地址发起请求，子域名中带有受害者域名和随机标识。该域名属于Burp Collaborator带外测试服务。把目标标识放入回连地址，能让测试方区分是哪台目标产生了交互；Symantec认为，这与验证目标是否执行了注入代码的行为一致。这个合法服务本身不是恶意基础设施。

7月28日上午，攻击者再次测试2号机上的WebShell。当天下午，1号机周期性出现通过命令解释器和PowerShell加载 .NET 程序集System.Workflow.ComponentModel的活动；2号机当天下午也出现了两次相同序列。

Symantec对这组程序集加载记录的解释是：其中暴露的类型可参与反序列化利用，将使用失窃机器密钥生成的__VIEWSTATE载荷转为SharePoint应用池内的代码执行。程序集是正常的 .NET 组件，单独出现并不能判定攻击；本案把它与此前WebShell、密钥利用和后续投送连在了一起。

ASP.NET在相关配置下使用machineKey中的验证密钥检查ViewState是否被篡改。密钥一旦失窃，攻击者可能构造能通过校验的数据；如果应用还具备可利用的反序列化条件，就可能以应用进程权限执行代码。这个过程不直接赋予域管理员权限。

图3：密钥泄漏后的执行风险与恢复关系。具体CVE及受害者此前的补丁、密钥处置状态，在这份详案中没有完整披露。

这解释了为什么修补漏洞后还需要处置密钥。微软的响应建议包含机器密钥轮换，CISA在2026年7月又强调应先清除窃取密钥的组件。否则，保留下来的组件仍可能取得新密钥。轮换必须与农场内其他服务器的检查一起完成。

7月28日：90分钟内出现三个安装包

取得执行能力后，2号机调用Windows Installer程序msiexec.exe请求后续载荷。记录中的三个安装包为：

• 6f5tdt.msi

：来自Catbox托管地址。
* vamd64.msi

：来自Wasabi对象存储地址。
* xn8xyt.msi

：来自另一个Wasabi地址，在前两次请求后约80分钟出现。

两个托管服务、三个不同包名，集中在约90分钟内。Symantec据此判断攻击者准备了多条投送路径。这里的主机已有代码执行能力，msiexec.exe承担的是后续安装包投送环节；公开资料没有逐一说明这三个包各自包含什么，也没有证明它们全部安装成功。

三个独立请求扩大了需要追查的投送范围，最早的安装包并不足以解释全部后续文件。

7月28日至29日：扩大本地管理权限，增加远程访问

7月28日稍晚至29日，域账号SPSEPRDSetup被反复加入3号、4号、5号机的本地Administrators组。遥测记录的是增加本地组成员，并非加入域级Domain Admins。

Symantec认为，这个名称可能是在模仿SharePoint部署账号。真正重要的是新增授权的范围：同一身份可以管理另外三台主机。报告没有披露账号最初如何取得，也没有披露执行这些组变更时所用权限的完整来源；但这三台主机已必须纳入失陷调查。

4号机还在Windows的debug目录下运行code-insiders.exe，安装VS Code隧道服务。目录位置、服务器角色和服务安装行为放在一起，比“看见VS Code”更能说明这次使用是否异常。

VS Code官方文档说明，Remote Tunnels通过出站连接接入Azure服务，连接两端使用同一GitHub或微软账号认证，也支持服务模式。这条路径增加了一种独立于SharePoint页面的远程访问方式；本案使用的具体账号未公开。对这台机器，处置需要查清服务何时安装、由谁安装、接入身份是什么，不能只删除WebShell。

在这段权限扩张过程中，2号机还运行了nxc.exe，原报告将其识别为NetExec，用于域枚举、凭据喷洒和远程命令执行。

7月30日至31日凌晨，1号机上的doexe.exe与doexeloc.dll仍反复出现。至此，可见记录已包含应用执行、额外主机管理员授权、隧道服务和域内操作。这些记录表明，集中投放前已存在多种访问方式；每台后续主机如何被访问，尚未全部公开。

5. 集中部署：防护破坏与勒索投放分别怎样执行

7月31日凌晨，攻击者开始密集分发文件。防护破坏工具与勒索程序走了不同共享位置，原报告还给出了复制到本地再启动的执行顺序。

内网共享到Public目录：先运行防护破坏工具

攻击者连接由一个内网IP地址提供的共享，从其av目录复制工具集到C:\\Users\\Public，再在后台启动a.exe。报告展示的命令中，共享地址和访问凭据已被隐去；4号机、6号机出现了相似动作，约两小时内至少40台主机记录到防护破坏工具执行。

这组记录把共享访问、工具落地和本地进程启动连在一起：攻击者集中存放工具，目标主机复制后执行。谁从哪台机器触发了这些远程动作，公开报告没有给出完整配置。

Symantec认为a.exe很可能利用了漏洞驱动，但本案具体驱动仍未知。K7RKScan出现在其他近期活动中；更早的Check Point和Symantec调查还分别记录过安天工具驱动、百度旧驱动，不能把这些记录都并进这一次七月事件。

以K7RKScan的CVE-2025-1055为例，漏洞位于驱动设备控制接口的授权检查。CVE记录说明，驱动已可被调用时，本地低权限用户可借此终止多种管理员或系统权限进程，操作系统自身保护的进程除外。这里“低权限可调用脆弱接口”不等于“低权限可以随意把驱动装入内核”。

这说明带签名的驱动仍可能被用来破坏安全软件。落实到本案，需把驱动加载、a.exe执行、安全进程停止和终端遥测变化按时间对应起来；在驱动未确认前，不能只按K7文件名圈定受影响主机。

SYSVOL到Public目录：复制并启动勒索程序

防护被关闭后，run.exe、rune.exe和名为how to restore your files.txt的勒索信很快出现在主机上。原报告在至少33台主机记录到这些文件。

报告公开的远端位置是SYSVOL下的受害域scripts/run目录，访问地址已隐去：

\\\\<已隐去的访问地址>\\SYSVOL\\<受害域>\\scripts\\run\\

受害主机从这里把文件复制到Public用户目录，然后依次发起run.exe、rune.exe的启动。这个细节很关键：终端执行的是本地副本，远端共享承担文件来源。即使共享中的程序随后被删除，终端副本也需要单独处理。

报告公开了两个EXE的启动命令，尚未给出二者职责与逐机运行、加密结果。

另有三台主机的遥测记录到dfsrs.exe参与相关勒索文件落地，路径位于SYSVOL下。DFSR负责域控制器之间的文件复制，这组记录解释的是文件怎样送达，并不能单独证明该复制服务启动了勒索程序。

图4：域控复制与终端读取是两条分支。SYSVOL中的文件可被读取，还需要实际执行动作，才会在终端运行。

文件到达、程序启动和成功加密，是三种结果

登录脚本或组策略能够参与此类部署，但报告没有完整公开本案的触发配置。微软在2025年的Storm-2603调查中观察到过组策略部署，也不能直接证明2026年这一次使用了同样配置。

同样，40台与33台对应不同观测：前者是防护破坏工具执行，后者是勒索文件与勒索信出现。两组数据没有完整给出重合关系、资产总数和逐机加密结果，不能相除得到成功率。

这些记录呈现了企业共享与复制机制如何参与恶意文件分发，也留下了终端复制与启动的痕迹。接下来还需查明写入共享、变更账号授权和下发命令的身份，并逐机核对执行与加密结果。

6. 这起事件对关键基础设施意味着什么

Warlock的危险在这宗案件里表现得很具体：应用服务器上的控制持续存在，访问方式不断增加，随后防护破坏与勒索投放在较短时间内集中发生。最后阶段的速度，建立在前面已经取得的访问和授权之上。

近期已知受害者分布在欧洲、非洲与拉美的葡语和西语国家。这个分布值得继续调查，尚不足以区分机会性利用与特定地域任务。公开报告也没有给出工业控制系统被接管、实际停水或通信中断的证据。

关键基础设施的影响还要沿IT与生产业务之间的依赖核查。NIST的OT安全指南要求识别这些依赖。例如，若工单、身份认证或远程维护依赖受影响的IT系统，即便控制设备没有被加密，维护与调度仍可能受阻。这是需要企业验证的风险情景，并非本案已经披露的后果。

恢复时，应先清除窃密与持久化组件，再按官方流程轮换应用密钥；核对被使用的账号及其在其他主机上的授权；查清隧道、共享文件和执行任务；验证终端防护与日志采集恢复。加密前的数据访问和传输，也应单独调查。

涉及生产系统的隔离、重启，需要与运行人员共同安排。

参考资料

资料核查截至2026年10月2日。网址完整列出，便于在公众号中复制查阅。

Symantec／Carbon Black，Warlock针对关键基础设施的最新调查，2026-10-01。
 https://www.security.com/threat-intelligence/warlock-ransomware-critical-infrastructure

Microsoft，Disrupting active exploitation of on-premises SharePoint vulnerabilities，2025-07-22及后续更新。
 https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/

Symantec／Carbon Black，Warlock历史来源与旧活动关联调查，2025-10-22。
 https://www.security.com/threat-intelligence/warlock-ransomware-origins

Positive Technologies，ChamelGang原始调查，2021年。
 https://global.ptsecurity.com/en/research/pt-esc-threat-intelligence/new-apt-group-chamelgang/

TeamT5，Unmasking CamoFei，HITCON 2023原演讲。
 https://hitcon.org/2023/CMT/slide/Unmasking%20CamoFei\_An%20In-depth%20Analysis%20of%20an%20Emerging%20APT%20Group%20Focused%20on%20Healthcare%20Sectors%20in%20East%20Asia.pdf

SentinelLabs／Recorded Future，ChamelGang & Friends完整研究报告，2024-06。
 https://cdn.pathfactory.com/assets/preprocessed/10546/96762ea7-5952-4c28-b698-8b79a2635614/96762ea7-5952-4c28-b698-8b79a2635614.pdf

Unit 42，Project AK47: Uncovering a Link to the SharePoint Vulnerability Attacks，2025-08-05。
 https://unit42.paloaltonetworks.com/ak47-activity-linked-to-sharepoint-vulnerabilities/

Check Point Research，Before ToolShell: Exploring Storm-2603’s Previous Ransomware Operations，2025-07-31。
 https://research.checkpoint.com/2025/before-toolshell-exploring-storm-2603s-previous-ransomware-operations/

Trend Micro，Warlock: From SharePoint Vulnerability Exploit to Enterprise Ransomware，2025-08-20。
 https://www.trendmicro.com/en\_us/research/25/h/warlock-ransomware.html

Microsoft，Code injection attacks using publicly disclosed ASP.NET machine keys，2025-02-06。
 https://www.microsoft.com/en-us/security/blog/2025/02/06/code-injection-attacks-using-publicly-disclosed-asp-net-machine-keys/

CISA，SharePoint加固提醒官方推送，2026-07-14。
 https://content.govdelivery.com/accounts/USDHSCISA/bulletins/4208511

Microsoft Learn，Improved ASP.NET view state security and key management。
 https://learn.microsoft.com/en-us/sharepoint/security-for-sharepoint-server/improved-asp-net-view-state-security-key-management

Visual Studio Code，Remote Tunnels官方文档。
 https://code.visualstudio.com/docs/remote/tunnels

Microsoft Learn，Group Policy overview。
 https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/group-policy/group-policy-overview

NIST，SP 800-82r3：Guide to Operational Technology Security，2023-09。
 https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-82r3.pdf

CVE官方记录，CVE-2025-1055：K7RKScan驱动接口授权缺失。
 https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2025/1xxx/CVE-2025-1055.json