Security

Storm-1175 e Medusa ransomware: asset web nel mirino

3 min di lettura

Riepilogo

Microsoft Threat Intelligence avverte che Storm-1175 sta sfruttando rapidamente sistemi esposti su Internet e vulnerabili per distribuire Medusa ransomware, talvolta entro 24 ore dall’accesso iniziale. L’attenzione del gruppo per falle appena divulgate, web shell, strumenti RMM e rapidi movimenti laterali rende fondamentali per i difensori la velocità di patching, l’exposure management e il rilevamento post-compromissione.

Hai bisogno di aiuto con Security?Parla con un esperto

Storm-1175 e Medusa ransomware: perché è importante

Microsoft Threat Intelligence ha pubblicato una nuova ricerca su Storm-1175, un attore di minaccia a scopo finanziario che conduce campagne di Medusa ransomware ad alta velocità. L’aspetto principale che preoccupa i difensori è la rapidità: il gruppo prende di mira sistemi web esposti su Internet e può passare dallo sfruttamento alla distribuzione del ransomware in appena 24 ore.

Per i team IT e di sicurezza, questo è un ulteriore promemoria del fatto che asset esposti su Internet, patching ritardato e scarsa visibilità sui sistemi perimetrali creano una finestra di risposta molto ridotta.

Cosa c’è di nuovo

Microsoft afferma che Storm-1175 ha sfruttato più di 16 vulnerabilità dal 2023, concentrandosi sull’intervallo tra la divulgazione pubblica e l’adozione delle patch. Le tecnologie prese di mira includono:

  • Microsoft Exchange
  • Ivanti Connect Secure and Policy Secure
  • ConnectWise ScreenConnect
  • JetBrains TeamCity
  • Papercut
  • SimpleHelp
  • CrushFTP
  • GoAnywhere MFT
  • SmarterMail
  • BeyondTrust

In particolare, Microsoft ha anche osservato l’attore utilizzare alcuni zero-day exploit, inclusi casi in cui lo sfruttamento è avvenuto una settimana prima della divulgazione pubblica.

Come funziona la catena di attacco

Dopo aver ottenuto l’accesso tramite un asset web esposto e vulnerabile, Storm-1175 in genere:

  • Stabilisce la persistenza usando una web shell o un payload di accesso remoto
  • Crea nuovi account locali e li aggiunge ai gruppi di amministratori
  • Usa LOLBins come PowerShell e PsExec
  • Si muove lateralmente con RDP, talvolta abilitandolo tramite modifiche al firewall
  • Fa affidamento su strumenti RMM come Atera, AnyDesk, ScreenConnect, MeshAgent e SimpleHelp
  • Usa strumenti come PDQ Deployer e Impacket per la distribuzione di payload e il movimento laterale
  • Ruba credenziali, altera i controlli di sicurezza, esfiltra dati e distribuisce Medusa ransomware

Questa combinazione di strumenti amministrativi legittimi e rapida esecuzione rende le attività più difficili da distinguere dalle normali operazioni IT.

Impatto sugli amministratori IT

Le organizzazioni nei settori sanitario, istruzione, servizi professionali e finanza sono state fortemente colpite, in particolare negli Stati Uniti, Regno Unito e Australia. Per gli amministratori, i rischi maggiori sono:

  • Vulnerabilità non corrette o appena divulgate su sistemi esposti su Internet
  • Scarsa visibilità sugli asset perimetrali esposti
  • Impostazioni di RDP e firewall eccessivamente permissive
  • Uso non monitorato di strumenti RMM negli ambienti di produzione

Il report evidenzia anche l’importanza di rilevare i comportamenti post-compromissione, non solo di bloccare lo sfruttamento iniziale.

Prossimi passaggi consigliati

I team di sicurezza e IT dovrebbero dare priorità a quanto segue:

  • Applicare rapidamente le patch ai sistemi esposti, soprattutto alle applicazioni web
  • Inventariare e monitorare continuamente tutti gli asset della external attack surface
  • Riesaminare e limitare l’uso degli strumenti RMM alle piattaforme e agli account approvati
  • Verificare la presenza di nuovi account admin non autorizzati e di modifiche al firewall
  • Monitorare l’uso sospetto di PowerShell, PsExec, PDQ Deploy e Impacket
  • Assicurarsi che Defender e le relative regole di rilevamento siano abilitati e configurati correttamente
  • Convalidare i piani di ripristino dal ransomware, inclusi backup offline e flussi di lavoro di incident response

Le indicazioni di Microsoft rafforzano una realtà pratica: se gli attaccanti possono trasformare una falla in un’arma nel giro di giorni o persino ore, i team di sicurezza hanno bisogno sia di un patching più rapido sia di un rilevamento più solido del movimento laterale all’interno della rete.

Hai bisogno di aiuto con Security?

I nostri esperti possono aiutarti a implementare e ottimizzare le tue soluzioni Microsoft.

Parla con un esperto

Resta aggiornato sulle tecnologie Microsoft

Leggi l'articolo originale di Microsoft Threat Intelligence
Storm-1175Medusa ransomwarevulnerability managementweb-facing assetsMicrosoft Threat Intelligence

Articoli correlati

Security

Phishing device code AI: campagna in escalation

Microsoft Defender Security Research ha descritto una campagna di phishing su larga scala che abusa del flusso OAuth device code usando esche generate con AI, generazione dinamica dei codici e infrastruttura backend automatizzata. La campagna aumenta il rischio per le organizzazioni perché migliora i tassi di successo degli attaccanti, aggira i modelli di rilevamento tradizionali e consente il furto di token, la persistenza tramite regole della posta in arrivo e la ricognizione con Microsoft Graph.

Security

Cyberattacchi AI: minacce accelerate nella catena

Microsoft avverte che gli attori delle minacce stanno ora integrando l’AI nell’intero ciclo di vita del cyberattacco, dalla ricognizione e dal phishing fino allo sviluppo di malware e alle operazioni post-compromissione. Per i difensori, questo significa attacchi più rapidi e precisi, tassi di successo del phishing più elevati e una crescente necessità di rafforzare identità, protezioni MFA e visibilità sulle superfici di attacco guidate dall’AI.

Security

Webshell PHP con cookie su Linux: elusione

Microsoft avverte che gli attori delle minacce stanno usando cookie HTTP per controllare webshell PHP negli ambienti di hosting Linux, aiutando il codice malevolo a restare inattivo finché non sono presenti specifici valori dei cookie. La tecnica riduce la visibilità nei log di routine, supporta la persistenza tramite cron job e sottolinea la necessità di un monitoraggio più efficace, protezione web e rilevamento endpoint sui carichi di lavoro Linux ospitati.

Security

Compromissione supply chain Axios npm: guida

Microsoft ha avvisato che le versioni npm dannose di Axios 1.14.1 e 0.30.4 sono state usate in un attacco alla supply chain attribuito a Sapphire Sleet. Le organizzazioni che usano i pacchetti interessati dovrebbero ruotare subito i segreti, eseguire il downgrade a versioni sicure e verificare eventuali compromissioni su endpoint degli sviluppatori e sistemi CI/CD.

Security

Sicurezza infrastrutture critiche: preparazione 2026

Microsoft afferma che il modello di minaccia per le infrastrutture critiche è passato da attacchi opportunistici ad accessi persistenti basati sull’identità, pensati per causare future interruzioni. Per i responsabili IT e della sicurezza, il messaggio è chiaro: ridurre l’esposizione, rafforzare l’identità e validare subito la preparazione operativa, mentre aumentano regolamentazioni e attività degli stati nazione.

Security

Sicurezza AI per CISO: guida pratica Microsoft

Microsoft consiglia ai CISO di proteggere i sistemi AI usando gli stessi controlli fondamentali già applicati a software, identità e accesso ai dati. La guida evidenzia il principio del privilegio minimo, le difese contro il prompt injection e l’uso della stessa AI per individuare problemi di autorizzazione prima che lo facciano utenti o attaccanti.