Storm-1175 i Medusa ransomware: Zašto je ovo važno

Microsoft Threat Intelligence je objavio novo istraživanje o Storm-1175, finansijski motivisanom akteru pretnji koji vodi brze kampanje Medusa ransomware. Ključna briga za timove odbrane je brzina: grupa cilja izložene web sisteme i može da pređe od eksploatacije do isporuke ransomware-a za samo 24 sata.

Za IT i bezbednosne timove, ovo je još jedan podsetnik da internetom izloženi resursi, odloženo zakrpljivanje i slaba vidljivost kroz perimetarske sisteme stvaraju veoma uzak vremenski prozor za odgovor.

Šta je novo

Microsoft navodi da je Storm-1175 od 2023. iskoristio više od 16 ranjivosti, fokusirajući se na jaz između javnog objavljivanja i primene zakrpa. Ciljane tehnologije uključuju:

• Microsoft Exchange
• Ivanti Connect Secure and Policy Secure
• ConnectWise ScreenConnect
• JetBrains TeamCity
• Papercut
• SimpleHelp
• CrushFTP
• GoAnywhere MFT
• SmarterMail
• BeyondTrust

Microsoft je takođe primetio da akter koristi i neke zero-day eksploatacije, uključujući slučajeve u kojima se eksploatacija dogodila nedelju dana pre javnog objavljivanja.

Kako funkcioniše lanac napada

Nakon sticanja pristupa preko ranjivog web sistema, Storm-1175 obično:

• Uspostavlja postojanost pomoću web shell alata ili payload-a za udaljeni pristup
• Kreira nove lokalne naloge i dodaje ih u administratorske grupe
• Koristi LOLBins kao što su PowerShell i PsExec
• Kreće se lateralno pomoću RDP, ponekad ga omogućavajući kroz izmene firewall pravila
• Oslanja se na RMM alate kao što su Atera, AnyDesk, ScreenConnect, MeshAgent i SimpleHelp
• Koristi alate kao što su PDQ Deployer i Impacket za isporuku payload-a i lateralno kretanje
• Krade akreditive, manipuliše bezbednosnim kontrolama, eksfiltrira podatke i isporučuje Medusa ransomware

Ova kombinacija legitimnih administratorskih alata i brzog izvršavanja otežava razlikovanje aktivnosti od uobičajenih IT operacija.

Uticaj na IT administratore

Organizacije u sektorima zdravstva, obrazovanja, profesionalnih usluga i finansija bile su značajno pogođene, posebno u SAD, UK i Australiji. Za administratore, najveći rizici su:

• Nezakrpljene ili novoobjavljene ranjivosti na internetom izloženim sistemima
• Slaba vidljivost nad izloženim perimetarskim resursima
• Previše permisivne RDP i firewall postavke
• Nenadgledana upotreba RMM alata u produkcionim okruženjima

Izveštaj takođe naglašava važnost detekcije ponašanja nakon kompromitacije, a ne samo blokiranja početne eksploatacije.

Preporučeni naredni koraci

Bezbednosni i IT timovi treba da daju prioritet sledećem:

• Brzo primenite zakrpe na izložene sisteme, posebno na web aplikacije
• Evidentirajte i kontinuirano nadgledajte sve resurse u okviru external attack surface
• Pregledajte i ograničite upotrebu RMM alata na odobrene platforme i naloge
• Proverite postojanje neautorizovanih novih administratorskih naloga i izmena firewall pravila
• Nadgledajte sumnjivu upotrebu PowerShell, PsExec, PDQ Deploy i Impacket alata
• Obezbedite da su Defender i povezana pravila detekcije omogućeni i pravilno podešeni
• Potvrdite planove za oporavak od ransomware-a, uključujući offline backup kopije i tokove incident response procesa

Microsoft smernice potvrđuju praktičnu realnost: ako napadači mogu da pretvore propust u oružje za nekoliko dana ili čak sati, bezbednosnim timovima su potrebni i brže zakrpljivanje i jača detekcija lateralnog kretanja unutar mreže.