El grupo de amenazas Storm-0501 ha sido observado mejorando sus tácticas para llevar a cabo ataques de exfiltración y extorsión de datos dirigidos a entornos en la nube. A diferencia del ransomware tradicional on-premises, donde se despliega malware para cifrar archivos críticos, Storm-0501 utiliza capacidades nativas de la nube para exfiltrar rápidamente grandes volúmenes de datos, destruir datos y copias de seguridad, y exigir un rescate, todo ello sin depender del despliegue de malware tradicional.
Storm-0501, activo desde 2021, ha evolucionado hasta convertirse en un afiliado de ransomware-as-a-service (RaaS), entregando varias cargas útiles de ransomware a lo largo de los años. Su modus operandi implica obtener acceso inicial a través de brokers de acceso, credenciales robadas o la explotación de vulnerabilidades de ejecución remota de código en servidores expuestos. Luego, escalan privilegios hasta obtener acceso de administrador de dominio, realizan movimientos laterales y reconocimientos para comprometer el entorno cloud de la víctima. Una vez dentro, establecen persistencia, escalan privilegios, exfiltran datos, los destruyen y finalmente, extorsionan a la víctima.
En una campaña reciente, Storm-0501 llevó a cabo un ataque DCSync para extraer credenciales de Active Directory, comprometiendo múltiples dominios y tenants de Entra ID. Esto les permitió identificar una identidad sincronizada no humana con un rol de Administrador Global sin MFA, lo que resultó en el restablecimiento de la contraseña on-premises y la sincronización a la nube. Con esta cuenta comprometida, registraron un tenant de Entra ID propiedad del atacante como un dominio federado de confianza para crear una puerta trasera y elevar su acceso a recursos críticos de Azure.
Tras la exfiltración, Storm-0501 procedió a eliminar masivamente los recursos de Azure que contenían los datos de la organización, impidiendo la restauración y mitigación por parte de la víctima. Posteriormente, contactaron a las víctimas a través de Microsoft Teams, exigiendo un rescate.
Microsoft ha implementado cambios en Microsoft Entra ID para prevenir el abuso de cuentas de sincronización de directorios y ha lanzado actualizaciones para Microsoft Entra Connect para mejorar la seguridad. También recomiendan habilitar el Módulo de Plataforma Segura (TPM) en el servidor de sincronización de Entra Connect para almacenar de forma segura las credenciales y las claves criptográficas.
Fuente original: Ver aquí