Storm-1175 i Medusa ransomware: dlaczego to ważne

Microsoft Threat Intelligence opublikował nowe badania dotyczące Storm-1175, aktora zagrożeń nastawionego na zysk finansowy, prowadzącego szybkie kampanie Medusa ransomware. Kluczowym problemem dla obrońców jest tempo: grupa atakuje wystawione systemy web-facing i może przejść od wykorzystania luki do wdrożenia ransomware w zaledwie 24 godziny.

Dla zespołów IT i bezpieczeństwa to kolejne przypomnienie, że zasoby dostępne z internetu, opóźnione łatanie i słaba widoczność systemów brzegowych tworzą bardzo wąskie okno na reakcję.

Co nowego

Microsoft podaje, że Storm-1175 wykorzystał ponad 16 vulnerabilities od 2023 roku, koncentrując się na luce czasowej między publicznym ujawnieniem a wdrożeniem poprawek. Atakowane technologie obejmują:

• Microsoft Exchange
• Ivanti Connect Secure and Policy Secure
• ConnectWise ScreenConnect
• JetBrains TeamCity
• Papercut
• SimpleHelp
• CrushFTP
• GoAnywhere MFT
• SmarterMail
• BeyondTrust

Co istotne, Microsoft zaobserwował również użycie przez tego aktora niektórych zero-day exploits, w tym przypadki, w których wykorzystanie nastąpiło tydzień przed publicznym ujawnieniem.

Jak działa łańcuch ataku

Po uzyskaniu dostępu przez podatny zasób web-facing, Storm-1175 zazwyczaj:

• Utrzymuje trwałość przy użyciu web shell lub payloadu zdalnego dostępu
• Tworzy new local accounts i dodaje je do grup administratorów
• Wykorzystuje LOLBins, takie jak PowerShell i PsExec
• Porusza się lateralnie za pomocą RDP, czasem włączając je poprzez zmiany w firewall
• Korzysta z RMM tools, takich jak Atera, AnyDesk, ScreenConnect, MeshAgent i SimpleHelp
• Używa narzędzi takich jak PDQ Deployer i Impacket do dostarczania payloadów i ruchu lateralnego
• Kradnie poświadczenia, manipuluje kontrolami bezpieczeństwa, eksfiltruje dane i wdraża Medusa ransomware

To połączenie legalnych narzędzi administracyjnych i szybkiej realizacji utrudnia odróżnienie tej aktywności od normalnych działań IT.

Wpływ na administratorów IT

Organizacje z sektorów healthcare, education, professional services i finance zostały mocno dotknięte, szczególnie w US, UK i Australia. Dla administratorów największe ryzyka to:

• Niezałatane lub nowo ujawnione vulnerabilities w systemach dostępnych z internetu
• Słaba widoczność wystawionych zasobów brzegowych
• Zbyt liberalne ustawienia RDP i firewall
• Nadzorowane użycie RMM tools w środowiskach produkcyjnych

Raport podkreśla również znaczenie wykrywania zachowań po kompromitacji, a nie tylko blokowania początkowego wykorzystania luk.

Zalecane kolejne kroki

Zespoły bezpieczeństwa i IT powinny nadać priorytet następującym działaniom:

• Szybko łatać wystawione systemy, szczególnie aplikacje web-facing
• Inwentaryzować i stale monitorować wszystkie zasoby external attack surface
• Przejrzeć i ograniczyć użycie RMM tools do zatwierdzonych platform i kont
• Audytować nieautoryzowane new admin accounts oraz zmiany w firewall
• Monitorować podejrzane użycie PowerShell, PsExec, PDQ Deploy i Impacket
• Upewnić się, że Defender i powiązane reguły detekcji są włączone i dostrojone
• Zweryfikować plany odzyskiwania po ransomware, w tym offline backups i workflowy reagowania na incydenty

Wskazówki Microsoft potwierdzają praktyczną rzeczywistość: jeśli atakujący mogą uzbroić lukę w ciągu dni, a nawet godzin, zespoły bezpieczeństwa potrzebują zarówno szybszego łatania, jak i silniejszego wykrywania ruchu lateralnego wewnątrz sieci.