Storm-0501: un altro aspetto della criminalità informatica che minaccia gli ambienti cloud ibridi

Storm-0501 è un threat actor che sta creando scalpore in vari settori degli Stati Uniti. Concentrandosi su settori come governo, trasporti, produzione e forze dell'ordine, questo gruppo motivato finanziariamente è diventato una preoccupazione significativa per le organizzazioni che gestiscono infrastrutture cloud ibride. Tuttavia, comprendere Storm-0501 e il suo funzionamento è fondamentale per proteggere la tua rete dal cadere preda delle sue sofisticate tattiche.

Che cos'è Storm-0501?

Storm-0501 è un gruppo di criminali informatici attivo dal 2021. Inizialmente ha preso di mira istituti scolastici con ransomware. Nel tempo, è cresciuto in scala e complessità, utilizzando le sue capacità per fornire più varianti di ransomware come Hive , LockBit , BlackCat (ALPHV) e, più di recente, Embargo ransomware . Operando come parte del modello ransomware-as-a-service (RaaS), il gruppo collabora con gli sviluppatori di ransomware, il che gli consente di lanciare attacchi sofisticati per una quota del riscatto.

Ciò che rende Storm-0501 particolarmente preoccupante è la sua capacità di infiltrarsi sia nelle infrastrutture on-premise che in quelle cloud. Utilizza principalmente una gamma di strumenti e exploit ampiamente disponibili per ottenere l'accesso non autorizzato alle organizzazioni, mirando all'esfiltrazione dei dati, al furto di credenziali e, in ultima analisi, all'implementazione di ransomware.

Come funziona Storm-0501?

Storm-0501 inizia solitamente le sue operazioni prendendo di mira credenziali deboli o sfruttando vulnerabilità non corrette in sistemi come Zoho ManageEngine, Citrix NetScaler e Adobe ColdFusion. Spesso sfrutta broker di accesso, che forniscono punti d'appoggio nelle organizzazioni, consentendo a Storm-0501 di concentrarsi sulla diffusione in tutta la rete. Una volta all'interno, l'attore della minaccia conduce un'ampia ricognizione per identificare risorse preziose all'interno dell'ambiente.

Il gruppo utilizza strumenti di monitoraggio remoto come AnyDesk e tecniche di furto di credenziali, tra cui attacchi brute-force e SecretsDump, uno strumento per estrarre password su una rete. Dopo aver acquisito un controllo sufficiente sui dispositivi, Storm-0501 stabilisce la persistenza sia in ambienti on-premise che cloud. Utilizza strumenti come Cobalt Strike per il movimento laterale e i moduli di Impacket per approfondire ulteriormente il suo accesso.

Uno degli aspetti più allarmanti della loro strategia è la loro capacità di compromettere Microsoft Entra ID (in precedenza Azure Active Directory) e di passare da reti on-premise a piattaforme cloud. O dirottano account amministratore con credenziali deboli o sfruttano account privi di autenticazione a più fattori (MFA). Ciò consente loro di esfiltrare dati sensibili, bloccarli dietro crittografia e distribuire ransomware come Embargo su intere reti.

Ransomware ed estorsione: il colpo finale

Una volta preso il controllo, Storm-0501 ricorre spesso all'implementazione di ransomware, crittografando file critici e chiedendo un riscatto. In alcuni casi, tuttavia, potrebbero scegliere di mantenere solo l'accesso backdoor senza implementare ransomware. Ciò consente loro di avere un controllo continuo sulla rete compromessa, lasciando potenzialmente le organizzazioni ignare della loro presenza per lunghi periodi.

Le campagne ransomware di Storm-0501 non riguardano solo la crittografia dei file. Utilizzano anche tattiche di doppia estorsione, minacciando di rilasciare dati sensibili a meno che non venga pagato un riscatto. Ciò crea una doppia minaccia per la vittima: pagare per mantenere i dati privati o rischiare sia tempi di inattività operativi che la divulgazione pubblica di informazioni riservate.

Proteggere la tua organizzazione da Storm-0501

Dato l'approccio di attacco multiforme di Storm-0501, le organizzazioni devono essere vigili e proattive nei loro sforzi di sicurezza informatica. Ecco le strategie chiave per proteggersi da questa minaccia:

1. Rafforzare la sicurezza delle credenziali

Storm-0501 sfrutta spesso credenziali deboli per ottenere l'accesso alle organizzazioni. È fondamentale garantire che tutti gli account, in particolare quelli con privilegi amministrativi, abbiano password forti e univoche. Inoltre, l'applicazione dell'autenticazione a più fattori (MFA) su tutti gli account utente, in particolare quelli basati su cloud, aggiunge un ulteriore livello di sicurezza. Anche la disattivazione degli account inutilizzati e la verifica regolare delle autorizzazioni degli account per evitare accessi con privilegi eccessivi sono pratiche essenziali.

2. Correggere le vulnerabilità note

Storm-0501 spesso sfrutta software non patchato e vulnerabilità note. Garantire aggiornamenti e patch tempestivi per tutti i sistemi, in particolare quelli con servizi rivolti a Internet, può ridurre significativamente le possibilità di sfruttamento. Le vulnerabilità in piattaforme come Zoho ManageEngine e Citrix NetScaler sono state vettori di attacco chiave per questo gruppo, rendendo la gestione delle patch una strategia di difesa critica.

3. Monitorare attività insolite

Storm-0501 esegue un'ampia ricognizione prima di distribuire il ransomware. Le organizzazioni possono rilevare questi primi segnali monitorando l'attività di rete insolita, in particolare per quanto riguarda l'uso delle credenziali e il movimento laterale. L'implementazione di sistemi avanzati di rilevamento delle minacce che riconoscono l'uso di strumenti come Cobalt Strike e AnyDesk può aiutare a rilevare le intrusioni prima che degenerino.

4. Eseguire regolarmente il backup dei dati

Nel caso in cui il ransomware venga distribuito con successo, avere backup sicuri e frequenti è uno dei modi più efficaci per ridurre al minimo i danni. Assicurati che i backup siano archiviati fuori dalla rete e non siano facilmente accessibili agli aggressori che ottengono l'accesso alla rete. Testare regolarmente i backup è altrettanto importante per garantire che possano essere ripristinati in caso di emergenza.

5. Istruisci e forma il tuo personale

L'errore umano spesso consente alle minacce informatiche di penetrare nei sistemi. Programmi di formazione regolari del personale incentrati su attacchi di phishing e tattiche di ingegneria sociale possono impedire al personale di fornire inavvertitamente l'accesso agli aggressori.

Consapevolezza e azione sono fondamentali

Storm-0501 è un threat actor adattabile e intraprendente che prende di mira infrastrutture critiche. La sua capacità di compromettere sia gli ambienti on-premise che quelli cloud lo rende un avversario formidabile. Tuttavia, con un approccio proattivo alla sicurezza informatica, focalizzato su una solida gestione delle credenziali, patch regolari e rilevamento precoce, le organizzazioni possono difendersi efficacemente da questa minaccia in evoluzione.

Essere consapevoli delle tattiche utilizzate da gruppi come Storm-0501 è il primo passo per creare un ambiente sicuro e resiliente, in cui l'infrastruttura cloud ibrida rimanga una risorsa strategica piuttosto che una vulnerabilità.