C
月内に
ランサムウェアグループ「Warlock」（別名Longlegs/Storm-2603）が、Microsoft SharePointの脆弱性「ToolShell」…
📌 一言でいうと
ランサムウェアグループ「Warlock」（別名Longlegs/Storm-2603）が、Microsoft SharePointの脆弱性「ToolShell」を悪用して世界的に攻撃を仕掛けています。最近では欧州、アフリカ、ラテンアメリカのインフラ機関や大学などが標的となっており、過去には日本や米国でも攻撃が確認されています。攻撃者は悪意のあるスクリプトを埋め込み、公開ファイル共有サービスを介してマルウェアをロードし、さらに脆弱なドライバーを用いてセキュリティソフトを強制停止させる手法を用いています。
🔍該当判定
- 自社で『Microsoft SharePoint』をサーバーにインストールして運用している
- SharePointのアップデート（更新プログラムの適用）を2025年中盤から現在まで放置している
- 社外から直接アクセス可能な状態でSharePointサーバーを公開している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Microsoft SharePointの最新パッチを適用し、ToolShell脆弱性を解消すること。また、不審なファイル共有サービスへの通信や、未知のドライバーによるセキュリティソフトの停止などの異常挙動を監視することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Microsoft SharePoint ToolShell脆弱性を悪用したWarlockランサムウェアへの対応について
お疲れさまです。Warlock（Longlegs/Storm-2603）による攻撃キャンペーンに関する情報共有です。
■ 概要
攻撃者がMicrosoft SharePointの脆弱性「ToolShell」を悪用し、重要インフラや教育機関を標的にランサムウェア攻撃を展開しています。攻撃者は公開ファイル共有サービスを利用してマルウェアを配布し、脆弱なドライバーを用いてEDR/AVを無効化する高度な手法を用いています。
■ 影響範囲
- Microsoft SharePoint (ToolShell脆弱性が未修正のバージョン)
■ 対応手順
1. SharePointサーバーの更新状況を確認し、最新のセキュリティパッチを適用してください。
2. 公開ファイル共有サービスへの不審なアウトバウンド通信がないかログを確認してください。
3. セキュリティソフト（AV/EDR）が予期せず停止していないか、監視体制を強化してください。
■ 参考情報
- thaicert 通報内容
対応優先度: 高
対応期限: 至急
お疲れさまです。Warlock（Longlegs/Storm-2603）による攻撃キャンペーンに関する情報共有です。
■ 概要
攻撃者がMicrosoft SharePointの脆弱性「ToolShell」を悪用し、重要インフラや教育機関を標的にランサムウェア攻撃を展開しています。攻撃者は公開ファイル共有サービスを利用してマルウェアを配布し、脆弱なドライバーを用いてEDR/AVを無効化する高度な手法を用いています。
■ 影響範囲
- Microsoft SharePoint (ToolShell脆弱性が未修正のバージョン)
■ 対応手順
1. SharePointサーバーの更新状況を確認し、最新のセキュリティパッチを適用してください。
2. 公開ファイル共有サービスへの不審なアウトバウンド通信がないかログを確認してください。
3. セキュリティソフト（AV/EDR）が予期せず停止していないか、監視体制を強化してください。
■ 参考情報
- thaicert 通報内容
対応優先度: 高
対応期限: 至急
Subject: [Security Alert] Warlock Ransomware Exploiting Microsoft SharePoint ToolShell Vulnerabilities
Dear IT/Security Team,
We are sharing intelligence regarding a campaign by the Warlock (Longlegs/Storm-2603) ransomware group.
■ Overview
Attackers are exploiting the 'ToolShell' vulnerabilities in Microsoft SharePoint to target critical infrastructure and academic institutions globally. The group utilizes public file-sharing services to deliver malware and employs vulnerable drivers to forcibly disable security software (AV/EDR).
■ Scope
- Microsoft SharePoint (versions susceptible to ToolShell vulnerabilities)
■ Action Plan
1. Verify the patch level of all SharePoint servers and apply the latest security updates immediately.
2. Monitor network logs for suspicious outbound connections to public file-sharing services.
3. Enhance monitoring for unexpected shutdowns or malfunctions of AV/EDR agents.
■ Reference
- thaicert report
Priority: High
Deadline: Immediate
Dear IT/Security Team,
We are sharing intelligence regarding a campaign by the Warlock (Longlegs/Storm-2603) ransomware group.
■ Overview
Attackers are exploiting the 'ToolShell' vulnerabilities in Microsoft SharePoint to target critical infrastructure and academic institutions globally. The group utilizes public file-sharing services to deliver malware and employs vulnerable drivers to forcibly disable security software (AV/EDR).
■ Scope
- Microsoft SharePoint (versions susceptible to ToolShell vulnerabilities)
■ Action Plan
1. Verify the patch level of all SharePoint servers and apply the latest security updates immediately.
2. Monitor network logs for suspicious outbound connections to public file-sharing services.
3. Enhance monitoring for unexpected shutdowns or malfunctions of AV/EDR agents.
■ Reference
- thaicert report
Priority: High
Deadline: Immediate