Microsoft SharePoint : les failles ToolShell exploitées pour diffuser le rançongiciel Warlock

Ces vulnérabilités ont déjà permis à deux groupes de cyberespionnage liés à la Chine d’infiltrer plus de 400 organisations étatiques et critiques dans le monde.

Microsoft a révélé, le 24 juillet 2025, que le groupe cybercriminel chinois Storm-2603 avait exploité les vulnérabilités « ToolShell » dans SharePoint pour déployer le rançongiciel Warlock. Apparu en juin 2025, ce dernier fonctionne sur un modèle de Ransomware-as-a-Service (RaaS), et aurait déjà fait 11 victimes.

Les vulnérabilités « ToolShell », révélées publiquement le 18 juillet 2025, affectent les versions on-premise de la suite collaborative Microsoft SharePoint. Deux groupes de cyberespionnage affiliés au gouvernement chinois, « Linen Typhoon » et « Violet Typhoon », exploitent ces failles depuis plusieurs semaines. Ils auraient piraté plus de 400 organisations étatiques et critiques à travers le monde, dont 13 % situées aux États-Unis, le pays le plus touché.

Les autorités américaines ont confirmé que les Instituts nationaux de santé du pays figuraient parmi les victimes. Elles ont aussi admis la compromission « d’un très petit nombre de systèmes » de la National Nuclear Security Administration, l’agence chargée de gérer l’arsenal nucléaire des États-Unis.

Les attaques de Storm-2603 avec Warklock ont débuté le 18 juillet 2025. Bien qu’exploitant les mêmes vulnérabilités, elles n’auraient aucun lien direct avec celles de Linen Typhoon et Violet Typhoon.