Storm-2603 atacó infraestructura crítica en América Latina, Europa y África explotando SharePoint sin parchear y eliminando sensores de seguridad antes del cifrado
El 1 de octubre, investigadores de amenazas confirmaron que el grupo vinculado a China detrás del ransomware Warlock, rastreado por Microsoft como Storm-2603, comprometió al menos cuatro organizaciones en los dos meses previos. Entre los objetivos figuran una empresa de servicios de agua, un proveedor de telecomunicaciones, un organismo de gobierno regional y una universidad, todos en países de habla portuguesa e hispana distribuidos entre Europa, África y América Latina. El vector de entrada probable fue Microsoft SharePoint on-premises sin parchear. Lo que distingue esta campaña no es la técnica de acceso inicial — explotación de vulnerabilidades conocidas de ToolShell parcheadas en julio de 2025 — sino la velocidad con que el grupo desmanteló las defensas antes del cifrado: 40 hosts perdieron su protección en aproximadamente dos horas, un promedio de un equipo cada tres minutos.
Nueve días de reconocimiento, dos horas para desarmar
El caso documentado contra un operador de infraestructura crítica muestra el patrón completo. El 22 de julio, los atacantes plantaron un web shell en un servidor SharePoint. Durante la semana siguiente, mapearon el dominio, configuraron acceso remoto encubierto y agregaron una cuenta — aparentemente nombrada para pasar como cuenta de servicio de SharePoint — a grupos de administrador local. Durante aproximadamente un día, la única actividad registrada fue una pieza de código plantado ejecutándose en segundo plano.
En las primeras horas del 31 de julio, el grupo ejecutó una herramienta diseñada para deshabilitar software de seguridad. Su ejecución quedó registrada en al menos 40 hosts en aproximadamente 120 minutos. A continuación, prepararon el ransomware Warlock en la carpeta SYSVOL del dominio — un directorio que Windows replica automáticamente a cada controlador de dominio y hace legible en todo el dominio — y dejaron que la replicación ordinaria lo llevara a al menos 33 hosts. En cada uno, el ransomware apareció casi tan pronto como la protección desapareció.
Por qué América Latina queda expuesta por infraestructura sin parchear
Los ataques ocurrieron en países de habla portuguesa e hispana en tres continentes, pero el patrón de exposición estructural es especialmente relevante para América Latina. La región concentra una proporción significativa de instalaciones de SharePoint on-premises en sectores de infraestructura crítica — servicios de agua, telecomunicaciones, gobierno — que operan con presupuestos ajustados y equipos de seguridad reducidos. El grupo explotó vulnerabilidades de ToolShell en julio de 2025, el mismo mes en que Microsoft lanzó los parches. Esto implica que las organizaciones afectadas no aplicaron actualizaciones críticas en una ventana de días o semanas, un escenario común en entornos con procesos de gestión de parches lentos o inexistentes.
El Servicio de Investigación del Congreso de Estados Unidos señaló en agosto que el 81 por ciento de casi 49,500 sistemas de agua comunitarios en ese país se clasifican como pequeños, sirviendo a 3,300 personas o menos. Los sistemas más grandes tienen mayor capacidad para contratar especialistas en seguridad. En América Latina, donde la fragmentación de servicios públicos es comparable o mayor, la brecha de capacidad es similar: menos personas vigilando, más horas en que nadie lo hace. Todas las víctimas en esta ronda estuvieron fuera de Estados Unidos, pero el manual de ataque no requiere pasaporte.
El control que el adversario puede apagar vale menos de lo que dice el presupuesto
La secuencia de Warlock plantea una pregunta contable. Un control que el adversario puede desactivar vale menos que su línea presupuestaria indica. La mayor parte del gasto en detección depende de una secuencia de eventos que deben salir bien en el peor momento posible: un sensor que permanece vivo, una consola que recibe lo que reporta, una persona que lo lee a tiempo. Si se elimina el sensor, el resto no tiene nada con qué trabajar. El gasto permanece en el presupuesto, pero la máquina queda sin protección.
En este caso, los atacantes apuntaron a las herramientas que vigilaban los datos antes que a los datos mismos. Una herramienta que carga un controlador firmado vulnerable opera en el nivel más profundo de la máquina y puede terminar cualquier software de seguridad que encuentre. Pero esa herramienta llegó después de nueve días dentro de la red. Antes de eso, los atacantes tuvieron que explotar un servidor, cargar su propio código en memoria mediante sideloading y abrirse camino hasta obtener derechos en todo el dominio. Cada uno de esos pasos fue una oportunidad para detenerlos con un control que nunca tuvo que sobrevivir al interruptor de apagado, porque el atacante no habría llegado lo suficientemente cerca para usarlo.
Protección que no espera al sensor
Si desactivar lo que está vigilando ocurre justo antes de la carga útil, la protección que importa tiene que estar en su lugar mucho antes. No puede depender de que una conexión a la nube se mantenga, de que un analista lea una alerta o de que un sensor sobreviva la noche. Una forma de construir ese control funciona en memoria: gran parte del código que un intruso carga en el camino depende de encontrar aplicaciones dispuestas en memoria de la manera que espera. Cambiar esa disposición cada vez que se carga una aplicación debería hacer que el código que depende de esas expectativas falle en el momento en que se ejecuta, en endpoints y en servidores, se esté reportando o no a alguien. La decisión ocurre en la máquina.
El parcheo y la detección siguen siendo esenciales. El parcheo cierra la puerta por la que este grupo probablemente entró, y la detección es a menudo la única razón por la que un equipo se entera de que algo está mal. Una utilidad que recorta cualquiera de los dos para financiar otra cosa ha hecho un mal intercambio. La protección contra manipulación y el bloqueo de controladores vulnerables conocidos también deben estar activados en todas partes. Hacen que el paso de eliminación sea más difícil. Pero un control que el adversario puede apagar vale menos de lo que su línea presupuestaria dice.
Nuestro análisis
Esta campaña de Warlock revela un patrón que ya se había visto en ataques anteriores contra infraestructura crítica: el adversario no necesita técnicas novedosas cuando puede contar con que las defensas básicas no estarán en su lugar. Storm-2603 explotó vulnerabilidades parcheadas el mismo mes de su publicación, lo que indica que las organizaciones afectadas no tenían procesos de gestión de parches funcionales. El grupo dedicó nueve días a reconocimiento y movimiento lateral antes de ejecutar el ransomware, una ventana en la que controles preventivos — no solo detectivos — pudieron haberlo detenido. La velocidad de desactivación de protección (un host cada tres minutos) sugiere automatización y conocimiento previo de la topología de red, lo que implica que el reconocimiento fue exhaustivo.
Lo que aún no se sabe es cuántas organizaciones adicionales fueron comprometidas pero no reportadas, y si el grupo mantiene acceso persistente en víctimas que no llegaron a la fase de cifrado. La pregunta que queda es: ¿cuántas juntas directivas de servicios públicos en América Latina están evaluando qué parte de su presupuesto de seguridad sigue funcionando cuando los sensores se apagan?