El grupo de amenazas conocido como Storm-0501 ha estado perfeccionando sus tácticas para realizar ataques de exfiltración de datos y extorsión en entornos en la nube. A diferencia del ransomware tradicional, que cifra archivos críticos en los endpoints de una red comprometida, el ransomware basado en la nube introduce un cambio fundamental.
Características distintivas del ataque
Según Microsoft, Storm-0501 aprovecha las capacidades nativas de la nube para exfiltrar rápidamente grandes volúmenes de datos, destruir datos y copias de seguridad en el entorno de la víctima, exigiendo un rescate sin depender de la implementación tradicional de malware.
Actividad del grupo
Microsoft documentó por primera vez Storm-0501 hace casi un año, detallando sus ataques en entornos híbridos dirigidos a sectores como el gubernamental, manufacturero, de transporte y policial en EE.UU. Los actores de amenazas pasaron del entorno local a la nube para realizar exfiltración de datos, robo de credenciales e implementación de ransomware.
Operaciones recientes
En una campaña reciente dirigida a una gran empresa anónima con múltiples filiales, Storm-0501 realizó un reconocimiento antes de moverse lateralmente por la red utilizando Evil-WinRM. Los atacantes también llevaron a cabo un ataque DCSync para extraer credenciales de Active Directory simulando el comportamiento de un controlador de dominio.
Acceso y escalada de privilegios
El acceso inicial se logra mediante intrusiones facilitadas por intermediarios como Storm-0249 y Storm-0900, que aprovechan credenciales robadas o explotan vulnerabilidades conocidas en servidores públicos sin parchear. Con la cuenta de administrador global comprometida, los intrusos accedieron al portal de Azure, registrando un inquilino de Entra ID propiedad de un actor de amenazas como un dominio federado de confianza para crear una puerta trasera.
Exfiltración y extorsión
Tras completar la fase de exfiltración, Storm-0501 inició la eliminación masiva de los recursos de Azure que contenían los datos de la organización víctima, impidiéndole tomar medidas de remediación mediante la restauración de los datos. Tras exfiltrar y destruir con éxito los datos dentro del entorno de Azure, el atacante inició la fase de extorsión, contactando a las víctimas mediante Microsoft Teams, utilizando a uno de los usuarios previamente comprometidos, exigiendo un rescate.
Respuestas y mitigaciones
Microsoft afirmó haber implementado un cambio en Microsoft Entra ID que impide que los atacantes abusen de las cuentas de sincronización de directorios para escalar privilegios. También publicó actualizaciones de Microsoft Entra Connect (versión 2.5.3.0) para admitir la autenticación moderna y permitir a los clientes configurar la autenticación basada en aplicaciones.
También es importante habilitar el Módulo de Plataforma Segura (TPM) en el servidor de sincronización de Entra Connect para almacenar de forma segura las credenciales confidenciales y las claves criptográficas, mitigando así las técnicas de extracción de credenciales de Storm-0501.