Storm-1175 y Medusa ransomware: por qué importa

Microsoft Threat Intelligence ha publicado una nueva investigación sobre Storm-1175, un actor de amenazas con motivación financiera que ejecuta campañas rápidas de Medusa ransomware. La principal preocupación para los defensores es la velocidad: el grupo apunta a sistemas web expuestos a internet y puede pasar de la explotación al despliegue del ransomware en tan solo 24 horas.

Para los equipos de IT y seguridad, esto es otro recordatorio de que los activos expuestos a internet, los retrasos en el parcheo y la visibilidad deficiente en los sistemas perimetrales crean una ventana de respuesta muy estrecha.

Qué hay de nuevo

Microsoft afirma que Storm-1175 ha explotado más de 16 vulnerabilidades desde 2023, centrándose en la brecha entre la divulgación pública y la adopción de parches. Las tecnologías afectadas incluyen:

• Microsoft Exchange
• Ivanti Connect Secure and Policy Secure
• ConnectWise ScreenConnect
• JetBrains TeamCity
• Papercut
• SimpleHelp
• CrushFTP
• GoAnywhere MFT
• SmarterMail
• BeyondTrust

De forma destacada, Microsoft también observó al actor usando algunos zero-day exploits, incluidos casos en los que la explotación ocurrió una semana antes de la divulgación pública.

Cómo funciona la cadena de ataque

Tras obtener acceso a través de un activo web vulnerable expuesto a internet, Storm-1175 normalmente:

• Establece persistencia mediante un web shell o una carga útil de acceso remoto
• Crea nuevas cuentas locales y las añade a grupos de administradores
• Usa LOLBins como PowerShell y PsExec
• Se mueve lateralmente con RDP, a veces habilitándolo mediante cambios en el firewall
• Depende de herramientas RMM como Atera, AnyDesk, ScreenConnect, MeshAgent y SimpleHelp
• Usa herramientas como PDQ Deployer e Impacket para la entrega de cargas útiles y el movimiento lateral
• Roba credenciales, manipula controles de seguridad, exfiltra datos y despliega Medusa ransomware

Esta combinación de herramientas administrativas legítimas y ejecución rápida hace que la actividad sea más difícil de distinguir de las operaciones normales de IT.

Impacto para los administradores de IT

Las organizaciones de salud, educación, servicios profesionales y finanzas se han visto especialmente afectadas, en particular en EE. UU., Reino Unido y Australia. Para los administradores, los mayores riesgos son:

• Vulnerabilidades sin parchear o recientemente divulgadas en sistemas expuestos a internet
• Visibilidad deficiente de los activos perimetrales expuestos
• Configuraciones de RDP y firewall demasiado permisivas
• Uso no supervisado de herramientas RMM en entornos de producción

El informe también destaca la importancia de detectar comportamientos posteriores al compromiso, no solo bloquear la explotación inicial.

Próximos pasos recomendados

Los equipos de seguridad e IT deben priorizar lo siguiente:

• Aplicar parches rápidamente a los sistemas expuestos, especialmente a las aplicaciones web
• Inventariar y supervisar continuamente todos los activos de la superficie de ataque externa
• Revisar y restringir el uso de herramientas RMM a plataformas y cuentas aprobadas
• Auditar nuevas cuentas de administrador no autorizadas y cambios en el firewall
• Supervisar el uso sospechoso de PowerShell, PsExec, PDQ Deploy e Impacket
• Asegurarse de que Defender y las reglas de detección relacionadas estén habilitados y ajustados
• Validar los planes de recuperación ante ransomware, incluidas las copias de seguridad offline y los flujos de respuesta a incidentes

La guía de Microsoft refuerza una realidad práctica: si los atacantes pueden convertir una falla en arma en cuestión de días o incluso horas, los equipos de seguridad necesitan tanto un parcheo más rápido como una detección más sólida del movimiento lateral dentro de la red.