Storm-1175 und Medusa ransomware: Warum das wichtig ist

Microsoft Threat Intelligence hat neue Erkenntnisse zu Storm-1175 veröffentlicht, einem finanziell motivierten Threat Actor, der schnelle Medusa ransomware-Kampagnen durchführt. Das zentrale Problem für Verteidiger ist die Geschwindigkeit: Die Gruppe zielt auf exponierte webbasierten Systeme und kann von der Ausnutzung bis zur Bereitstellung von Ransomware in nur 24 Stunden gelangen.

Für IT- und Sicherheitsteams ist das eine weitere Erinnerung daran, dass internetseitige Assets, verzögertes Patchen und geringe Transparenz über Perimetersysteme das Reaktionsfenster stark verkleinern.

Was ist neu?

Microsoft zufolge hat Storm-1175 seit 2023 mehr als 16 Schwachstellen ausgenutzt und dabei die Lücke zwischen öffentlicher Offenlegung und Patch-Einführung gezielt genutzt. Zu den betroffenen Technologien gehören:

• Microsoft Exchange
• Ivanti Connect Secure und Policy Secure
• ConnectWise ScreenConnect
• JetBrains TeamCity
• Papercut
• SimpleHelp
• CrushFTP
• GoAnywhere MFT
• SmarterMail
• BeyondTrust

Bemerkenswert ist zudem, dass Microsoft den Akteur auch beim Einsatz einiger Zero-Day-Exploits beobachtet hat, darunter Fälle, in denen die Ausnutzung eine Woche vor der öffentlichen Offenlegung stattfand.

So funktioniert die Angriffskette

Nach dem Zugriff über ein anfälliges webbasiertes Asset geht Storm-1175 typischerweise wie folgt vor:

• Etabliert Persistenz mithilfe einer Webshell oder eines Remote-Access-Payloads
• Erstellt neue lokale Konten und fügt sie Administratorgruppen hinzu
• Nutzt LOLBins wie PowerShell und PsExec
• Bewegt sich lateral per RDP, teils nach Aktivierung durch Firewall-Änderungen
• Setzt auf RMM-Tools wie Atera, AnyDesk, ScreenConnect, MeshAgent und SimpleHelp
• Verwendet Tools wie PDQ Deployer und Impacket für Payload-Bereitstellung und laterale Bewegung
• Stiehlt Zugangsdaten, manipuliert Sicherheitskontrollen, exfiltriert Daten und stellt Medusa ransomware bereit

Diese Kombination aus legitimen Admin-Tools und schneller Ausführung macht die Aktivitäten schwerer von normalen IT-Abläufen zu unterscheiden.

Auswirkungen auf IT-Administratoren

Organisationen im Gesundheitswesen, Bildungssektor, bei professionellen Dienstleistungen und im Finanzwesen waren stark betroffen, insbesondere in den USA, Großbritannien und Australien. Für Administratoren sind die größten Risiken:

• Ungepatchte oder neu offengelegte Schwachstellen auf internetseitigen Systemen
• Mangelnde Transparenz über exponierte Perimeter-Assets
• Zu weit gefasste RDP- und Firewall-Einstellungen
• Unüberwachter Einsatz von RMM-Tools in Produktionsumgebungen

Der Bericht unterstreicht außerdem, wie wichtig die Erkennung von Verhalten nach einer Kompromittierung ist – nicht nur das Blockieren der initialen Ausnutzung.

Empfohlene nächste Schritte

Security- und IT-Teams sollten Folgendes priorisieren:

• Exponierte Systeme schnell patchen, insbesondere webbasierte Anwendungen
• Alle Assets der externen Angriffsfläche inventarisieren und kontinuierlich überwachen
• Die Nutzung von RMM-Tools überprüfen und auf genehmigte Plattformen und Konten beschränken
• Auf nicht autorisierte neue Admin-Konten und Firewall-Änderungen prüfen
• Auf verdächtige Nutzung von PowerShell, PsExec, PDQ Deploy und Impacket achten
• Sicherstellen, dass Defender und zugehörige Erkennungsregeln aktiviert und abgestimmt sind
• Ransomware-Wiederherstellungspläne validieren, einschließlich Offline-Backups und Incident-Response-Workflows

Microsofts Leitlinien bekräftigen eine praktische Realität: Wenn Angreifer eine Schwachstelle innerhalb von Tagen oder sogar Stunden ausnutzen können, brauchen Sicherheitsteams sowohl schnelleres Patchen als auch eine stärkere Erkennung lateraler Bewegungen im Netzwerk.