Cet article a été publié à l’origine sur TechRepublic.
Selon Microsoft, les attaques récentes visant Microsoft SharePoint se sont intensifiées : des acteurs malveillants déploient désormais des rançongiciels sur des systèmes vulnérables. Cette recrudescence d’activités malveillantes fait suite à la publication de plusieurs correctifs de sécurité pour SharePoint en juillet.
Une mise à jour publiée sur le blog de Microsoft indique notamment : « Une analyse élargie et de nouvelles informations sur les menaces issues de notre surveillance continue des activités d’exploitation menées par Storm-2603 et aboutissant au déploiement du rançongiciel Warlock. »
Détails de l’attaque
Selon Microsoft, au moins trois groupes de cybermenaces soupçonnés d’être affiliés à la Chine exploitent des vulnérabilités publiquement connues de Microsoft SharePoint. Il s’agit notamment de Linen Typhoon, Violet Typhoon et Storm-2603.
Les attaquants ont exploité plusieurs failles sur des serveurs SharePoint locaux — notamment l’exécution de code à distance (RCE), l’usurpation d’identifiants et une authentification incorrecte — pour obtenir un accès non autorisé. Une fois à l’intérieur, ils ont pu infiltrer les systèmes de fichiers internes et exfiltrer des données sensibles susceptibles d’être utilisées à des fins de surveillance, d’usurpation d’identité ou d’extorsion.
Microsoft a publié des correctifs pour remédier aux vulnérabilités concernées — CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 et CVE-2025-53771 — au cours de deux vagues distinctes de correctifs de sécurité au début et à la mi-juillet. Malgré ces mesures, l’entreprise a averti que des rançongiciels sont désormais déployés sur des systèmes non corrigés, notamment par Storm-2603.
Qui est Storm-2603 ?
Alors que Linen Typhoon et Violet Typhoon sont déjà connus pour être basés en Chine, Microsoft a déclaré être « moyennement certain » que Storm-2603 est originaire de Chine.
Quel que soit l’endroit où il se trouve, Storm-2603 est connu pour ses attaques par rançongiciel. Par le passé, le groupe a utilisé les rançongiciels LockBit et Warlock, ce dernier ayant également servi lors de ses attaques les plus récentes contre SharePoint.
Qu’est-ce que le rançongiciel Warlock ?
Selon le traqueur de rançongiciels de Watchguard, Warlock est classé parmi les rançongiciels chiffreurs et a été détecté pour la première fois en juin 2025. Au moment de la rédaction, près de 20 victimes sont connues aux États-Unis, au Canada, en Allemagne, en Chine et dans plusieurs autres pays.
Microsoft Threat Intelligence a identifié plusieurs indicateurs de compromission (IOC) que les administrateurs de SharePoint doivent surveiller. Il s’agit notamment d’une adresse IP connue, 65.38.121.198, d’un fichier nommé IIS_Server_dll.dll qui sert de porte dérobée et d’une série de web shells utilisés par Storm-2603 pour exécuter des commandes à distance sur le serveur.
Comment protéger votre système contre Storm-2603 et Warlock
Compte tenu de la nature furtive de Storm-2603 et de ses attaques par rançongiciel, Microsoft recommande d’installer les derniers correctifs de sécurité, d’utiliser des mots de passe robustes, de tester régulièrement les configurations de sécurité et de surveiller en continu votre serveur SharePoint afin de détecter tout IOC connu.
L’entreprise recommande également d’utiliser les outils de Microsoft Defender, notamment Vulnerability Management et External Attack Surface Management (EASM), ainsi qu’un abonnement actif à Microsoft Defender XDR.
SharePoint poursuit son combat contre les hackers
Avec la divulgation de plusieurs vulnérabilités, le déploiement rapide de correctifs et désormais des déploiements actifs de rançongiciels, juillet a été un mois critique pour les utilisateurs et les défenseurs de SharePoint. Alors que Microsoft continue de publier des correctifs de sécurité, l’apparition de nouveaux vecteurs d’attaque laisse penser que des adversaires déterminés continueront probablement à sonder les failles.
L’IA n’est pas qu’un mot à la mode : c’est une arme entre de mauvaises mains. Découvrez comment les attaquants l’utilisent et comment les défenseurs peuvent garder une longueur d’avance.