RANSOMWARE
Ransomware Warlock: Storm-2603 ataca cuatro organizaciones en América Latina, Europa y África
Microsoft atribuye a Storm-2603 el ransomware Warlock, que ingresó por SharePoint sin parchear y desactivó protecciones en unos 40 equipos antes de cifrar, según la firma.
Entre julio y octubre de 2026, el grupo rastreado por Microsoft como Storm-2603 comprometió al menos cuatro organizaciones en países hispanohablantes y lusófonos de América Latina, Europa y África: una empresa de servicios de agua, un proveedor de telecomunicaciones, un organismo de gobierno regional y una universidad.
El vector de entrada probable fue Microsoft SharePoint on-premises sin parchear, mediante la explotación de vulnerabilidades conocidas de la cadena ToolShell, corregidas en julio de 2025.
Según la descripción de la campaña, el grupo dedicó unos nueve días a reconocimiento y movimiento lateral y luego ejecutó una herramienta para desactivar el software de seguridad en al menos 40 equipos en unas dos horas, un promedio de un host cada tres minutos.
Después empaquetó el ransomware Warlock en el recurso compartido SYSVOL del dominio, que Windows replica a los controladores, y lo distribuyó a al menos 33 equipos, donde el cifrado apareció casi en cuanto desapareció la protección.
Cómo ocurrió
- Confirmado
- Afirmado o sin verificar
- Storm-2603Grupo vinculado a ChinaConfirmado.
- SharePoint sin parchearExplotación de ToolShellConfirmado.
- ReconocimientoNueve días de movimiento lateralConfirmado.
- Desactivación40 hosts en dos horasConfirmado.
- SYSVOLDistribución a 33 equiposSin verificar.
- WarlockCifrado tras perder protecciónConfirmado.
Reconstrucción de DUPIN Noticias según lo informado. Los pasos punteados los afirma el atacante o no están verificados.
Qué se sabe
ACREDITADO
- Microsoft sigue al grupo como Storm-2603 y lo vincula al ransomware Warlock.
- La firma reportó al menos cuatro organizaciones comprometidas en los dos meses previos al 1 de octubre de 2026.
- El vector de entrada probable fue SharePoint on-premises sin parchear, con vulnerabilidades de ToolShell corregidas en julio de 2025.
- La desactivación de protecciones afectó a unos 40 hosts en aproximadamente dos horas.
SIN VERIFICAR O ABIERTO
- No hay atribución estatal formal ni informe de agencia gubernamental que respalde la vinculación del grupo con China.
- No está confirmado que entre las víctimas haya una organización española.
- Las identidades de las cuatro organizaciones afectadas no fueron divulgadas.
- La distribución del ransomware a través de SYSVOL surge de una descripción de la campaña y no de un comunicado de las víctimas.
Contexto
Storm-2603 es la designación de Microsoft para un grupo del ecosistema chino asociado al ransomware Warlock. La campaña se apoya en vulnerabilidades ya corregidas, lo que indica que las organizaciones afectadas no tenían procesos de gestión de parches funcionales.
El sector del agua concentra especial preocupación en Europa desde 2023 por su condición de infraestructura crítica. La velocidad con que el grupo desactivó protecciones sugiere automatización y conocimiento previo de la topología de red.
El caso recuerda a NotPetya, en 2017, cuando un ransomware con apariencia delictiva y efecto de sabotaje aprovechó un parche pendiente y provocó interrupciones masivas.
Qué hacer
- Parchear SharePoint a tiempo Revisar si los servidores SharePoint on-premises tienen aplicadas las correcciones de ToolShell y priorizar cualquier exposición pendiente en sistemas de borde.
- Proteger las consolas de seguridad Restringir permisos sobre las herramientas de detección y monitorear su desactivación como señal de alerta temprana.
- Vigilar SYSVOL y dominios Controlar cambios inesperados en recursos compartidos replicados por el dominio, que pueden usarse para distribuir malware a toda la red.
- Desconfiar de mensajes con el incidente Los atacantes suelen usar casos conocidos como gancho para pedir credenciales o pagos; verificar cualquier comunicación por canales oficiales.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
