Symantec et Carbon Black ont publié le 1er octobre 2026 le déroulé d’intrusions du groupe Longlegs, qui déploie le rançongiciel Warlock après la compromission de serveurs SharePoint installés en local. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, signaux qui auraient pu alerter, questions d’audit ISO 27001 et pistes de sensibilisation. Tout repose sur le rapport d’un seul éditeur ; la faille exacte utilisée pour l’entrée et l’éventuel vol de données ne sont pas confirmés.
Pour une lecture orientée dirigeant, voir notre décryptage « Un an après ToolShell, SharePoint reste une porte d’entrée pour les rançongiciels ».
Contexte
- Victimes : non nommées. Au moins 4 organisations en deux mois : un opérateur d’eau, un opérateur télécom, une collectivité régionale, une université. Pays de langue portugaise et espagnole (Europe, Afrique, Amérique latine). Le détail des pays n’est pas publié.
- Type : rançongiciel avec intrusion humaine (« human-operated »), précédé d’une compromission d’application exposée.
- Attribution : groupe « lié à la Chine » selon Symantec, qui le relie à d’anciens clusters (CL-CRI-1040, CamoFei, ChamelGang). Nous reprenons cette attribution telle quelle, sans pouvoir la vérifier.
- Dates (intrusion la plus détaillée) : du 22 juillet 2026 (web shell) au 31 juillet 2026 (chiffrement). Publication : 1er octobre 2026.
- Sources : Symantec / Carbon Black, 1er octobre 2026 (source principale) ; BleepingComputer, 2 octobre 2026.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui a été observé (Symantec) | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Entrée | Exploitation probable de failles SharePoint Server en local (ToolShell et/ou failles plus récentes). Symantec écrit « likely » : la faille exacte n’est pas confirmée pour cette intrusion. | T1190 Exploit Public-Facing Application |
| Point d’appui | Web shell écrit par PowerShell dans un dossier web de SharePoint, pour plusieurs versions de SharePoint à la fois. | T1505.003 Web Shell ; T1059.001 PowerShell |
| Exécution de code | Vol des clés machine ASP.NET, puis envoi de données d’état de page signées avec ces clés (désérialisation) pour exécuter du code dans le pool applicatif. | T1552 Unsecured Credentials (rapprochement approximatif) ; suite de T1190 (désérialisation) |
| Reconnaissance | Commandes Windows standard d’énumération des utilisateurs, de l’identité courante et des relations d’approbation du domaine ; appel vers un service public de test d’interaction (Burp Collaborator) pour confirmer l’exécution. | T1087.002 ; T1033 ; T1482 |
| Outils et persistance | Chargement de DLL par un exécutable légitime (DLL sideloading) ; paquets MSI téléchargés silencieusement depuis des services publics de stockage de fichiers. | T1574.002 DLL Side-Loading ; T1218.007 Msiexec ; T1105 Ingress Tool Transfer |
| Privilèges | Compte de domaine dont le nom imite un compte de service SharePoint, ajouté aux administrateurs locaux de 3 machines. | T1098 Account Manipulation ; T1036 Masquerading |
| Accès à distance | Tunnel VS Code installé en tant que service, trafic relayé par l’infrastructure Microsoft. | T1219 Remote Access Tools ; T1572 Protocol Tunneling |
| Mouvement latéral | NetExec : énumération de l’Active Directory, pulvérisation de mots de passe, exécution à distance ; copie d’outils via les partages réseau. | T1110.003 Password Spraying ; T1021.002 SMB/Windows Admin Shares ; T1570 Lateral Tool Transfer |
| Neutralisation des défenses | Un outil lancé sur au moins 40 hôtes en 2 heures. Dans d’autres attaques du groupe : pilote signé vulnérable K7RKScan (CVE-2025-1055), technique BYOVD. Pour cette intrusion, le pilote exact n’est pas identifié. | T1562.001 Disable or Modify Tools ; T1068 |
| Impact | Exécutables du rançongiciel déposés dans le partage SYSVOL ; réplication DFSR observée comme vecteur de diffusion ; note de rançon sur au moins 33 hôtes. | T1570 Lateral Tool Transfer ; T1486 Data Encrypted for Impact |
La colonne MITRE est une lecture de notre part : elle n’est pas fournie par Symantec.
Ce qu’on ne sait pas
- Exfiltration : le rapport Symantec ne documente pas de vol de données pour cette intrusion. Information non confirmée à ce stade : nous ne pouvons donc pas dire s’il y a eu double extorsion.
- Faille d’entrée exacte et pilote utilisé pour neutraliser les défenses dans cette intrusion : non confirmés.
- Mode de découverte par la victime : non publié (voir ci-dessous).
Détection : ce qui aurait pu alerter, et ce qu’on ne sait pas
Le rapport ne dit pas comment la victime s’est rendu compte de l’attaque, ni si un SOC a vu quelque chose avant le chiffrement. Les données viennent de la télémétrie Symantec.
En revanche, l’attaque a laissé neuf jours de signaux visibles, qui auraient pu déclencher une alerte :
- un fichier .aspx écrit par PowerShell dans un dossier web de SharePoint ;
- le processus de SharePoint qui lance un interpréteur de commandes ou PowerShell et charge une DLL inhabituelle ;
- une requête sortante vers un service de test d’intrusion, sans usage métier normal ;
- l’installeur Windows qui télécharge des paquets depuis des services de stockage publics ;
- un compte de domaine ajouté aux administrateurs locaux de plusieurs serveurs ;
- un nouveau service lié à VS Code sur un serveur ;
- enfin, l’arrêt quasi simultané de l’antivirus ou de l’EDR sur 40 postes.
Pourquoi ça passe (analyse de notre part) : beaucoup de ces actions utilisent des outils signés et légitimes (VS Code, installeur Windows, partages Windows, SYSVOL), et le trafic se mélange à celui de services cloud connus. Sans règles de détection ciblées, ces signaux restent noyés dans le bruit.
Questions d’audit ISO 27001:2022
- A.8.8 (gestion des vulnérabilités techniques) : « Pour vos applications exposées (SharePoint en local, passerelles VPN, NetScaler…), quand un correctif corrige une faille déjà exploitée, la procédure prévoit-elle aussi une recherche de compromission et le changement des secrets (clés machine, certificats, comptes de service) ? Montrez-moi la trace pour le dernier cas. »
- A.8.16 (activités de surveillance) : « Quelles règles de détection couvrent l’arrêt simultané des agents de sécurité sur plusieurs postes, et l’écriture de fichiers dans les dossiers web des serveurs ? Qui reçoit l’alerte la nuit et le week-end, et en combien de temps ? »
- A.8.2 et A.5.18 (droits d’accès privilégiés, droits d’accès) : « Les modifications des groupes d’administrateurs locaux des serveurs sont-elles journalisées, alertées et revues ? Comment détectez-vous un compte qui imite le nom d’un compte de service ? »
- A.8.19 et A.8.7 (installation de logiciels sur les systèmes en exploitation, protection contre les programmes malveillants) : « Les outils de développement et d’accès à distance (VS Code et son tunnel, outils de prise en main) sont-ils interdits ou contrôlés sur les serveurs ? Une liste blanche ou une liste de blocage de pilotes vulnérables est-elle appliquée ? »
Pistes de sensibilisation
- Atelier « Patcher n’est pas remédier » (équipes IT et SOC) : prendre un cas réel (ToolShell, NetScaler) et dérouler ensemble : correctif, recherche de web shell, changement des clés, vérification des comptes créés. L’objectif est que chacun sache quoi faire après le correctif.
- Exercice « Outils légitimes détournés » (administrateurs) : montrer en démonstration qu’un tunnel VS Code ou un téléchargement de paquet depuis un stockage public peut servir à un attaquant, et faire repérer ces traces dans des journaux. Cela aide à comprendre pourquoi certains outils sont interdits sur les serveurs.
À lire aussi : notre décryptage pour les dirigeants, « Un an après ToolShell, SharePoint reste une porte d’entrée pour les rançongiciels », et le bulletin de veille du 5 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.