Les chercheurs de Symantec décrivent une nouvelle série d’attaques du rançongiciel Warlock contre un opérateur d’eau, un opérateur télécom, une collectivité et une université. Le point d’entrée est le même qu’en 2025 : des serveurs SharePoint installés dans l’entreprise et mal corrigés. Une bonne occasion de rappeler qu’installer un correctif ne suffit pas toujours.
Ce qui s’est passé
Le 1er octobre 2026, l’équipe de recherche de Symantec et Carbon Black a publié une analyse du groupe qu’elle appelle Longlegs, suivi aussi sous le nom Storm-2603 (Symantec). Ce groupe, lié à la Chine selon les chercheurs, développe le rançongiciel Warlock (un programme qui chiffre les fichiers pour exiger une rançon). En deux mois, il a attaqué au moins quatre organisations dans des pays de langue portugaise et espagnole, en Europe, en Afrique et en Amérique latine. Les victimes ne sont pas nommées.
Le groupe s’était fait connaître à l’été 2025 en exploitant « ToolShell », une série de failles de SharePoint Server, le logiciel de partage de documents de Microsoft installé sur les serveurs de l’entreprise. Selon Symantec, ces failles sont probablement toujours utilisées, avec d’autres failles SharePoint plus récentes (BleepingComputer, 2 octobre 2026).
Comment l’attaque a fonctionné
Dans l’intrusion la plus détaillée, contre un opérateur d’infrastructure critique, neuf jours séparent l’entrée du chiffrement.
- 22 juillet : l’entrée. Les attaquants déposent sur le serveur SharePoint un « web shell », une petite page cachée qui leur permet d’envoyer des commandes au serveur. Ils s’en servent pour voler les clés machine du serveur, des secrets qui servent à signer les échanges entre le serveur et ses utilisateurs.
- La prise de contrôle. Avec ces clés, ils fabriquent des requêtes que SharePoint accepte comme légitimes. Ils peuvent ainsi exécuter du code à volonté.
- Du 24 au 29 juillet : l’exploration. Ils cartographient l’annuaire de l’entreprise (Active Directory), téléchargent leurs outils depuis des services de stockage publics et ajoutent un compte au nom trompeur, qui imite un compte technique de SharePoint, dans les administrateurs de plusieurs machines. Pour revenir discrètement, ils détournent un outil de développement signé par Microsoft (Visual Studio Code), dont le trafic passe par l’infrastructure de Microsoft.
- 31 juillet : l’attaque finale. Un outil coupe les antivirus et les outils de détection sur au moins 40 postes en deux heures, en s’appuyant sur un pilote (un petit programme système) signé mais vulnérable. Le rançongiciel est déposé dans un dossier partagé de l’annuaire, recopié automatiquement sur les serveurs centraux, puis chiffre au moins 33 postes.
Ce qui rend l’attaque difficile à voir : beaucoup d’étapes utilisent des outils légitimes et signés (outil de développement, installateur Windows, partages réseau). Sans règles de surveillance ciblées, ces signaux se perdent dans le bruit.
Ce qu’on ne sait pas encore
Symantec ne précise pas quelle faille exacte a été utilisée pour cette intrusion, ni comment la victime s’est rendu compte de l’attaque. Le rapport ne documente pas de vol de données : on ne sait donc pas s’il y a eu, en plus du chiffrement, une menace de publication. L’attribution à la Chine est celle de Symantec ; elle n’a pas été confirmée publiquement par une autre source.
Ce que ça change pour une PME
L’idée clé : un correctif ferme la porte, mais il ne change pas les serrures. Si les clés ont été volées avant le correctif, l’attaquant peut revenir. La même logique vaut pour tout équipement exposé à Internet (VPN, pare-feu, passerelle NetScaler).
- Faites l’inventaire de vos serveurs SharePoint installés en interne : version, niveau de correctif, exposition à Internet. Si un serveur a été exposé avant d’être corrigé, faites changer ses clés machine et rechercher des fichiers inconnus par votre prestataire.
- Après un correctif urgent sur un équipement exposé, demandez systématiquement une recherche de compromission et le changement des secrets (clés, certificats, comptes techniques).
- Vérifiez qu’une alerte remonte quand l’antivirus s’arrête sur plusieurs postes en même temps, ou quand un compte est ajouté aux administrateurs, et que quelqu’un (vous ou votre prestataire) peut réagir, y compris la nuit et le week-end.
- Isolez et testez vos sauvegardes : elles doivent être hors de portée de l’annuaire de l’entreprise, et une restauration doit avoir été testée récemment.
Dossier : Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 5 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.