El actor de amenazas conocido como Storm-0501 se ha dirigido a los sectores gubernamental, manufacturero, de transporte y de aplicaci\u00f3n de la ley en los EE. UU. para realizar ataques de ransomware.<\/p>\n
La campa\u00f1a de ataque de m\u00faltiples etapas est\u00e1 dise\u00f1ada para comprometer los entornos de nube h\u00edbrida y realizar un movimiento lateral desde el entorno local al entorno de la nube, lo que en \u00faltima instancia resulta en exfiltraci\u00f3n de datos, robo de credenciales, manipulaci\u00f3n, acceso persistente por puerta trasera e implementaci\u00f3n de ransomware, dijo Microsoft.<\/p>\n
“Storm-0501 es un grupo cibercriminal con motivaci\u00f3n financiera que utiliza herramientas b\u00e1sicas y de c\u00f3digo abierto para realizar operaciones de ransomware”. de acuerdo a<\/a> al equipo de inteligencia de amenazas del gigante tecnol\u00f3gico.<\/p>\n Activo desde 2021, el actor de amenazas tiene un historial de apuntar a entidades educativas con el ransomware Sabbath (54bb47h) antes de evolucionar a un ransomware como servicio (RaaS<\/a>) afiliado que ha entregado varias cargas \u00fatiles de ransomware a lo largo de los a\u00f1os, incluidos Hive, BlackCat (ALPHV), Hunters International, LockBit y Embargo ransomware.<\/p>\n Un aspecto notable de los ataques de Storm-0501 es el uso de credenciales d\u00e9biles y cuentas con demasiados privilegios para pasar de organizaciones locales a infraestructura en la nube.<\/p>\n Otros m\u00e9todos de acceso inicial incluyen el uso de un punto de apoyo ya establecido por agentes de acceso como Storm-0249 y Storm-0900, o la explotaci\u00f3n de varias vulnerabilidades conocidas de ejecuci\u00f3n remota de c\u00f3digo en servidores con acceso a Internet sin parches, como Zoho ManageEngine, Citrix NetScaler y Adobe ColdFusion 2016.<\/p>\n El acceso proporcionado por cualquiera de los enfoques antes mencionados allana el camino para operaciones de descubrimiento extensas para determinar activos de alto valor, recopilar informaci\u00f3n de dominio y realizar reconocimiento de Active Directory. A esto le sigue la implementaci\u00f3n de herramientas de administraci\u00f3n y monitoreo remoto (RMM) como AnyDesk para mantener la persistencia.<\/p>\n “El actor de la amenaza aprovech\u00f3 los privilegios de administrador en los dispositivos locales que comprometi\u00f3 durante el acceso inicial e intent\u00f3 obtener acceso a m\u00e1s cuentas dentro de la red a trav\u00e9s de varios m\u00e9todos”, dijo Microsoft.<\/p>\n “El actor de amenazas utiliz\u00f3 principalmente el m\u00f3dulo SecretsDump de Impacket, que extrae credenciales a trav\u00e9s de la red y lo aprovech\u00f3 en una gran cantidad de dispositivos para obtener credenciales”.<\/p>\n Luego, las credenciales comprometidas se utilizan para acceder a a\u00fan m\u00e1s dispositivos y extraer credenciales adicionales, y el actor de la amenaza accede simult\u00e1neamente a archivos confidenciales para extraer secretos de KeePass y realizar ataques de fuerza bruta para obtener credenciales para cuentas espec\u00edficas.<\/p>\n Microsoft dijo que detect\u00f3 que Storm-0501 empleaba Cobalt Strike para moverse lateralmente a trav\u00e9s de la red utilizando las credenciales comprometidas y enviar comandos de seguimiento. La exfiltraci\u00f3n de datos del entorno local se logra mediante el uso de Rclone para transferir los datos al servicio de almacenamiento en la nube p\u00fablica MegaSync. <\/p>\n Tambi\u00e9n se ha observado que el actor de amenazas crea acceso persistente por puerta trasera al entorno de la nube e implementa ransomware en las instalaciones, lo que lo convierte en el actor de amenazas m\u00e1s reciente en apuntar a configuraciones de nube h\u00edbrida despu\u00e9s de Octo Tempest y Manatee Tempest.<\/p>\n “El actor de la amenaza utiliz\u00f3 las credenciales, espec\u00edficamente Microsoft Entra ID (anteriormente Azure AD), que fueron robadas anteriormente en el ataque para moverse lateralmente desde el entorno local al entorno de la nube y establecer un acceso persistente a la red objetivo a trav\u00e9s de una puerta trasera. ” dijo Redmond.<\/p>\n Se dice que el paso a la nube se logra a trav\u00e9s de una cuenta de usuario de Microsoft Entra Connect Sync comprometida o mediante el secuestro de sesi\u00f3n en la nube de una cuenta de usuario local que tiene una cuenta de administrador respectiva en la nube con la autenticaci\u00f3n multifactor (MFA) deshabilitada. .<\/p>\n El ataque culmina con la implementaci\u00f3n del ransomware Embargo en toda la organizaci\u00f3n v\u00edctima al obtener suficiente control sobre la red, filtrar archivos de inter\u00e9s y moverlos lateralmente a la nube. Embargo<\/a> es un ransomware basado en Rust descubierto por primera vez en mayo de 2024.<\/p>\n “Operando bajo el modelo RaaS, el grupo de ransomware detr\u00e1s de Embargo permite a afiliados como Storm-0501 usar su plataforma para lanzar ataques a cambio de una parte del rescate”, dijo Microsoft.<\/p>\n “Los afiliados de Embargo emplean t\u00e1cticas de doble extorsi\u00f3n, donde primero cifran los archivos de la v\u00edctima y amenazan con filtrar datos confidenciales robados a menos que se pague un rescate”.<\/p>\n La divulgaci\u00f3n se produce cuando el grupo de ransomware DragonForce se ha dirigido a empresas de los sectores de fabricaci\u00f3n, bienes ra\u00edces y transporte utilizando una variante del constructor LockBit3.0 filtrado y una versi\u00f3n modificada de Conti.<\/p>\n Los ataques se caracterizan por el uso de la puerta trasera SystemBC para la persistencia, Mimikatz y Cobalt Strike para la recolecci\u00f3n de credenciales y Cobalt Strike para el movimiento lateral. Estados Unidos representa m\u00e1s del 50% del total de v\u00edctimas, seguido por el Reino Unido y Australia.<\/p>\n “El grupo emplea t\u00e1cticas de doble extorsi\u00f3n, cifrando datos y amenazando con filtraciones a menos que se pague un rescate”, Group-IB, con sede en Singapur. dicho<\/a>. “El programa de afiliados, lanzado el 26 de junio de 2024, ofrece el 80% del rescate a los afiliados, junto con herramientas para la gesti\u00f3n y automatizaci\u00f3n de ataques”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Microsoft-identifica-Storm-0501-como-la-principal-amenaza-en-los-ataques.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n