Rançongiciel Warlock : comment SharePoint devient la porte d’entrée

Vous n’avez peut-être pas de serveur SharePoint dans votre local. Les opérateurs du rançongiciel Warlock, eux, cherchent encore ceux qui en ont — surtout s’ils sont exposés à Internet et mal mis à jour. Selon un rapport Symantec / Security.com publié autour du 2 octobre 2026, le groupe suivi sous les noms Longlegs et Storm-2603 a frappé, au cours des deux mois précédents, au moins quatre organisations dans des pays lusophones et hispanophones : un service d’eau, un télécom, une administration régionale et une université.

Warlock a émergé en juin 2025 et s’est fait connaître en exploitant la chaîne de failles SharePoint dite ToolShell. Plus d’un an plus tard, SharePoint on-premises reste une porte d’entrée viable. Voici la chronologie type de l’attaque, puis ce que ça change pour une PME du Grand Montréal.

Chronologie d’une intrusion Warlock

Ce que Symantec a observé (faits vérifiés)

• Acteur : Chine-nexus, suivi comme Longlegs (Symantec) et Storm-2603 (Microsoft); lié aussi à des grappes plus anciennes (CL-CRI-1040, CamoFei, ChamelGang).
• Vecteur favori : SharePoint Server on-premises vulnérable. ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770, CVE-2025-53771) a ouvert la voie en 2025; Symantec indique que des failles SharePoint plus récentes (dont certaines signalées par la CISA en juillet 2026) restent plausibles.
• Cibles récentes : infrastructure critique (eau, télécom), gouvernement régional, éducation; concentration lusophone/hispanophone sur les deux mois analysés, avec un historique mondial plus large (États-Unis, Brésil, Inde, etc.).
• Persistance originale : installation du binaire code-insiders.exe en service tunnel — signé Microsoft, trafic qui se fond dans celui d’un poste de développeur ou d’administrateur.
• Déploiement massif : staging dans SYSVOL...scripts, donc réplication DFS naturelle vers le domaine entier.

Même sans SharePoint on-prem : 5 leçons pour une PME

1. Tout outil de collaboration exposé à Internet doit être patché — SharePoint, mais aussi VPN, pare-feu, webmail, portails clients. Les groupes ransomware recyclent les failles tant qu’il reste des serveurs non corrigés.
2. Activez la protection anti-altération (tamper protection) de votre EDR/antivirus et surveillez l’installation de pilotes inhabituels. La technique BYOVD (apporter son propre pilote vulnérable) vise précisément à éteindre vos défenses juste avant le chiffrement.
3. Isolez les sauvegardes : copies hors ligne ou immuables, testées. Si Warlock chiffre via SYSVOL, une sauvegarde branchée au même domaine ne vous sauvera pas.
4. Moindre privilège et comptes de service : un compte SharePoint ou un compte « setup » ajouté aux administrateurs locaux (comme observé dans le cas Symantec) devrait déclencher une alerte.
5. Surveillez les comportements inhabituels : tunnels VS Code sur un serveur, NetExec, rafales de net localgroup administrators, fichiers nouveaux dans SYSVOL. Une surveillance cyber bien réglée détecte souvent ces signaux avant le message de rançon.

Comment NeoTech peut vous aider

Chez NeoTech Cloud Solutions, on aide les PME de Laval, Montréal et de la Rive-Nord à réduire la surface exposée, à patcher les services de collaboration et à durcir Active Directory. Nos services de cybersécurité couvrent inventaire, correctifs et durcissement. Nos forfaits de surveillance cyber ajoutent une surveillance automatisée 24/7 avec intervention du technicien de garde. Si votre équipe vit dans Microsoft 365, on s’assure aussi que le cloud n’est pas la faille oubliée à côté d’un vieux serveur on-prem.

Réservez votre bilan cyber gratuit

Avez-vous encore un SharePoint, un ancien portail ou une passerelle exposée sans le savoir? En une courte rencontre, on cartographie ce qui est joignable depuis Internet et vous repartez avec des priorités claires. Sans jargon et sans engagement.

👉 Réservez votre bilan cyber gratuit

Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.

Sources

• Symantec / Security.com : Warlock Ransomware Attackers Hit Water and Telecom Operators
• BleepingComputer : Warlock ransomware breach SharePoint in water, telecom operator attacks
• SecurityWeek : Warlock Expands SharePoint Exploitation in Critical Infrastructure Attacks (2 octobre 2026)
• Trend Micro : Warlock — From SharePoint Vulnerability Exploit to Enterprise Ransomware (contexte ToolShell 2025)

Photo : Pixabay via Pexels.