Storm-0501: Kitas elektroninių nusikaltimų veidas, keliantis grėsmę hibridinėms debesų aplinkoms

Storm-0501 yra grėsmės veikėjas, keliantis bangas įvairiuose JAV sektoriuose. Ši finansiškai motyvuota grupė tapo dideliu rūpesčiu organizacijoms, valdančioms hibridines debesų infrastruktūras. Tačiau norint apsaugoti tinklą nuo sudėtingos taktikos aukos, labai svarbu suprasti Storm-0501 ir kaip jis veikia.

Kas yra Storm-0501?

Storm-0501 yra kibernetinių nusikaltėlių grupuotė, veikianti nuo 2021 m. Iš pradžių ji taikėsi į švietimo įstaigas, naudodama išpirkos reikalaujančią programinę įrangą. Laikui bėgant, jos mastas ir sudėtingumas išaugo, naudojant savo galimybes pristatyti kelis išpirkos reikalaujančių programų variantus, pvz., Hive , LockBit , BlackCat (ALPHV) ir visai neseniai Embargo ransomware . Veikdama kaip „ransomware-as-a-service“ (RaaS) modelio dalis, grupė bendradarbiauja su išpirkos reikalaujančių programų kūrėjais, leisdama jai pradėti sudėtingas atakas už dalį išpirkos.

„Storm-0501“ yra ypač susirūpinęs dėl jo gebėjimo įsiskverbti tiek į vietinę, tiek į debesų infrastruktūrą. Ji pirmiausia naudoja daugybę plačiai prieinamų įrankių ir išnaudojimų, kad gautų neteisėtą prieigą prie organizacijų, siekiant duomenų išfiltravimo, kredencialų vagystės ir galiausiai išpirkos reikalaujančios programinės įrangos diegimo.

Kaip veikia Storm-0501?

Storm-0501 paprastai pradeda savo veiklą nukreipdama į silpnus kredencialus arba išnaudodama nepataisytas pažeidžiamumą tokiose sistemose kaip Zoho ManageEngine, Citrix NetScaler ir Adobe ColdFusion. Jis dažnai pasitelkia prieigos tarpininkus, kurie suteikia atramą organizacijose, todėl Storm-0501 gali sutelkti dėmesį į plitimą visame tinkle. Patekęs į vidų, grėsmės veikėjas atlieka išsamią žvalgybą, kad nustatytų vertingą turtą aplinkoje.

Grupė naudoja nuotolinio stebėjimo įrankius, tokius kaip „AnyDesk“, ir kredencialų vagystės būdus, įskaitant brutalios jėgos atakas ir „SecretsDump“ – įrankį slaptažodžiams išgauti tinkle. Įgijus pakankamą įrenginių valdymą, Storm-0501 užtikrina pastovumą tiek vietinėje, tiek debesų aplinkoje. Jis naudoja tokius įrankius kaip Cobalt Strike šoniniam judėjimui ir Impacket modulius, kad dar labiau padidintų prieigą.

Vienas iš nerimą keliančių jų strategijos aspektų yra jų gebėjimas pažeisti „Microsoft Entra ID“ (anksčiau vadintą Azure Active Directory) ir pasisukti tarp vietinių tinklų ir debesies platformų. Jie arba užgrobia administratoriaus paskyras su silpnais kredencialais, arba išnaudoja paskyras, kurioms trūksta kelių veiksnių autentifikavimo (MFA). Tai suteikia jiems galimybę išfiltruoti neskelbtinus duomenis, užrakinti juos už šifravimo ir įdiegti išpirkos reikalaujančias programas, pvz., Embargo, visuose tinkluose.

Išpirkos reikalaujančios programos ir turto prievartavimas: paskutinis smūgis

Perėmusi kontrolę, Storm-0501 dažnai imasi išpirkos reikalaujančių programų diegimo, užšifruodama svarbius failus ir reikalaudama išpirkos. Tačiau kai kuriais atvejais jie gali pasirinkti išlaikyti tik užpakalinių durų prieigą, neįdiegę išpirkos reikalaujančių programų. Tai leidžia jiems nuolat kontroliuoti pažeistą tinklą, todėl organizacijos gali ilgą laiką nežinoti apie savo buvimą.

„Storm-0501“ išpirkos reikalaujančių programų kampanijos nėra susijusios tik su failų šifravimu. Jie taip pat taiko dvigubą turto prievartavimo taktiką, grasindami atskleisti neskelbtinus duomenis, nebent bus sumokėta išpirka. Tai sukuria dvigubą grėsmę aukai – arba susimokėti, kad duomenys būtų privatūs, arba rizikuoti tiek veiklos prastovomis, tiek viešu konfidencialios informacijos paskelbimu.

Organizacijos apsauga nuo Storm-0501

Atsižvelgiant į įvairiapusį „Storm-0501“ atakos metodą, organizacijos turi būti budrios ir aktyviai dėti pastangas kibernetinio saugumo srityje. Štai pagrindinės strategijos, kaip apsisaugoti nuo šios grėsmės:

1. Sustiprinkite kredencialų saugumą

Storm-0501 dažnai naudoja silpnus kredencialus, kad gautų prieigą prie organizacijų. Labai svarbu užtikrinti, kad visos paskyros, ypač turinčios administratoriaus teises, turėtų tvirtus, unikalius slaptažodžius. Be to, kelių veiksnių autentifikavimo (MFA) vykdymas visose vartotojų paskyrose, ypač debesies pagrindu, suteikia papildomo saugumo lygio. Nenaudojamų paskyrų išjungimas ir nuolatinis paskyros leidimų tikrinimas, siekiant išvengti pernelyg didelės prieigos, taip pat yra esminė praktika.

2. Pataisykite žinomus pažeidžiamumus

Storm-0501 dažnai naudojasi nepataisyta programine įranga ir žinomais pažeidžiamumu. Laiku užtikrinus atnaujinimus ir pataisas visoms sistemoms, ypač tų, kurios turi interneto paslaugas, gali žymiai sumažinti išnaudojimo tikimybę. Tokios platformos kaip Zoho ManageEngine ir Citrix NetScaler pažeidžiamumas buvo pagrindiniai šios grupės atakų vektoriai, todėl pataisų valdymas tapo svarbia gynybos strategija.

3. Stebėkite neįprastą veiklą

Storm-0501 atlieka išsamią žvalgybą prieš įdiegdama išpirkos reikalaujančią programinę įrangą. Organizacijos gali aptikti šiuos ankstyvuosius požymius stebėdamos neįprastą tinklo veiklą, ypač kredencialų naudojimą ir judėjimą į šoną. Įdiegę pažangias grėsmių aptikimo sistemas, atpažįstančias tokių įrankių kaip „Cobalt Strike“ ir „AnyDesk“ naudojimą, gali padėti aptikti įsibrovimus prieš jiems padaugėjus.

4. Reguliariai kurkite atsargines duomenų kopijas

Sėkmingai įdiegus išpirkos reikalaujančią programinę įrangą, saugus ir dažnas atsarginių kopijų kūrimas yra vienas iš efektyviausių būdų sumažinti žalą. Įsitikinkite, kad atsarginės kopijos yra saugomos už tinklo ribų ir jų negali lengvai pasiekti užpuolikai, kurie gauna prieigą prie tinklo. Taip pat svarbu reguliariai tikrinti atsargines kopijas, kad būtų galima jas atkurti kritiniu atveju.

5. Mokykite ir mokykite savo darbuotojus

Žmogaus klaidos dažnai leidžia kibernetinėms grėsmėms prasiskverbti į sistemas. Reguliarios personalo mokymo programos, kuriose pagrindinis dėmesys skiriamas sukčiavimo atakoms ir socialinės inžinerijos taktikai, gali neleisti darbuotojams netyčia suteikti užpuolikams prieigos.

Sąmoningumas ir veiksmai yra svarbiausia

Storm-0501 yra prisitaikantis ir išradingas grėsmės veikėjas, nukreiptas į svarbiausią infrastruktūrą. Dėl savo gebėjimo daryti kompromisus tiek vietinėje, tiek debesų aplinkoje, jis yra didžiulis priešas. Tačiau taikydamos aktyvų požiūrį į kibernetinį saugumą, sutelkdamos dėmesį į tvirtą kredencialų valdymą, reguliarų pataisymą ir ankstyvą aptikimą, organizacijos gali veiksmingai apsiginti nuo šios besivystančios grėsmės.

Žinojimas apie tokių grupių kaip Storm-0501 taikomas taktikas yra pirmasis žingsnis kuriant saugią, atsparią aplinką, kurioje hibridinė debesų infrastruktūra išlieka strateginiu turtu, o ne pažeidžiamumu.