Storm-1175 и Medusa ransomware: почему это важно

Microsoft Threat Intelligence опубликовала новое исследование о Storm-1175 — финансово мотивированном threat actor, который проводит быстро развивающиеся кампании Medusa ransomware. Ключевая проблема для защитников — скорость: группа нацеливается на доступные извне веб-системы и может пройти путь от эксплуатации до развертывания ransomware всего за 24 часа.

Для IT- и security-команд это еще одно напоминание: интернет-доступные активы, задержки с установкой исправлений и слабая видимость периметровых систем создают очень узкое окно для реагирования.

Что нового

По данным Microsoft, с 2023 года Storm-1175 эксплуатировала более 16 уязвимостей, делая ставку на промежуток между публичным раскрытием и внедрением исправлений. Среди целевых технологий:

• Microsoft Exchange
• Ivanti Connect Secure and Policy Secure
• ConnectWise ScreenConnect
• JetBrains TeamCity
• Papercut
• SimpleHelp
• CrushFTP
• GoAnywhere MFT
• SmarterMail
• BeyondTrust

Примечательно, что Microsoft также наблюдала использование злоумышленником некоторых zero-day exploits, включая случаи, когда эксплуатация происходила за неделю до публичного раскрытия.

Как работает цепочка атаки

После получения доступа через уязвимый веб-актив Storm-1175 обычно:

• Закрепляется с помощью web shell или payload для удаленного доступа
• Создает новые локальные учетные записи и добавляет их в группы администраторов
• Использует LOLBins, такие как PowerShell и PsExec
• Выполняет боковое перемещение через RDP, иногда включая его изменениями в firewall
• Опирается на RMM tools, такие как Atera, AnyDesk, ScreenConnect, MeshAgent и SimpleHelp
• Использует инструменты вроде PDQ Deployer и Impacket для доставки payload и бокового перемещения
• Крадет учетные данные, вмешивается в security controls, эксфильтрирует данные и разворачивает Medusa ransomware

Такое сочетание легитимных административных инструментов и быстрого исполнения затрудняет отличие вредоносной активности от обычных IT-операций.

Влияние на IT-администраторов

Сильнее всего пострадали организации в сферах healthcare, education, professional services и finance, особенно в США, Великобритании и Австралии. Для администраторов основные риски таковы:

• Неисправленные или недавно раскрытые уязвимости в интернет-доступных системах
• Недостаточная видимость внешних периметровых активов
• Чрезмерно разрешающие настройки RDP и firewall
• Неконтролируемое использование RMM tools в продуктивных средах

В отчете также подчеркивается важность обнаружения поведения после компрометации, а не только блокирования начальной эксплуатации.

Рекомендуемые следующие шаги

Security- и IT-командам следует сосредоточиться на следующем:

• Быстро устанавливать исправления на внешние системы, особенно на веб-приложения
• Проводить инвентаризацию и непрерывный мониторинг всех активов external attack surface
• Пересмотреть и ограничить использование RMM tools только утвержденными платформами и учетными записями
• Проверить наличие несанкционированных новых учетных записей администраторов и изменений в firewall
• Отслеживать подозрительное использование PowerShell, PsExec, PDQ Deploy и Impacket
• Убедиться, что Defender и связанные правила обнаружения включены и настроены
• Проверить планы восстановления после ransomware, включая offline backups и процессы incident response

Рекомендации Microsoft подчеркивают практическую реальность: если злоумышленники могут превратить уязвимость в оружие за дни или даже часы, security-командам нужны и более быстрые исправления, и более сильное обнаружение бокового перемещения внутри сети.