Kaspersky แกะเคส Storm-2603 เจาะ SharePoint ผ่าน ToolShell ช่วงคริสต์มาสอีฟ ฝังเว็บเชลล์ในหน่วยความจำ ใช้ Velociraptor คงสิทธิ์ ก่อนสั่งรัน Warlock แต่ถูกบล็อก
Securelist ของ Kaspersky เผยเคสที่กลุ่ม Storm-2603 ซึ่งโยงกับจีนใช้ช่องโหว่ ToolShell ใน SharePoint ฝังเว็บเชลล์ที่อยู่ในหน่วยความจำเท่านั้น แล้วพยายามรันแรนซัมแวร์ Warlock ผู้โจมตีเข้ามาในคืนคริสต์มาสอีฟ หลังมีการสแกนตรวจช่องโหว่ล่วงหน้า 4 วัน จากนั้นติดตั้ง Velociraptor เวอร์ชันมีช่องโหว่เพื่อคงสิทธิ์ เปิดอุโมงค์สำรองหลายทาง และวางไดรเวอร์มีช่องโหว่เพื่อปิดแอนติไวรัส ขั้นสุดท้ายถูก Kaspersky บล็อกก่อนเข้ารหัสไฟล์ได้ ผู้ใช้ SharePoint ในองค์กรต้องแพตช์ หมุน MachineKey และไล่หาร่องรอย