Storm-0501: еще одно лицо киберпреступности, угрожающее гибридным облачным средам

Storm-0501 — это группа угроз, которая производит фурор в различных секторах по всей территории США. Сосредоточившись на таких секторах, как правительство, транспорт, производство и правоохранительные органы, эта финансово мотивированная группа стала серьезной проблемой для организаций, управляющих гибридными облачными инфраструктурами. Однако понимание Storm-0501 и того, как он работает, является ключом к защите вашей сети от его изощренных тактик.

Что такое Шторм-0501?

Storm-0501 — это киберпреступная группировка, действующая с 2021 года. Изначально она нацелилась на образовательные учреждения с помощью программ-вымогателей. Со временем она выросла в масштабах и сложности, используя свои возможности для доставки нескольких вариантов программ-вымогателей, таких как Hive , LockBit , BlackCat (ALPHV) и, совсем недавно, Embargo ransomware . Действуя в рамках модели «программы-вымогатели как услуга» (RaaS), группировка сотрудничает с разработчиками программ-вымогателей, что позволяет ей запускать сложные атаки за долю выкупа.

Что делает Storm-0501 особенно тревожным, так это его способность проникать как в локальные, так и в облачные инфраструктуры. Он в первую очередь использует ряд широко распространенных инструментов и эксплойтов для получения несанкционированного доступа к организациям, стремясь к эксфильтрации данных, краже учетных данных и, в конечном счете, развертыванию программ-вымогателей.

Как работает Storm-0501?

Storm-0501 обычно начинает свою деятельность, нацеливаясь на слабые учетные данные или эксплуатируя неисправленные уязвимости в таких системах, как Zoho ManageEngine, Citrix NetScaler и Adobe ColdFusion. Он часто использует брокеров доступа, которые обеспечивают опорные пункты в организациях, позволяя Storm-0501 сосредоточиться на распространении по всей сети. Оказавшись внутри, субъект угрозы проводит обширную разведку, чтобы определить ценные активы в среде.

Группа использует инструменты удаленного мониторинга, такие как AnyDesk, и методы кражи учетных данных, включая атаки методом подбора и SecretsDump, инструмент для извлечения паролей по сети. Получив достаточный контроль над устройствами, Storm-0501 устанавливает устойчивость как в локальных, так и в облачных средах. Он использует такие инструменты, как Cobalt Strike, для горизонтального перемещения и модули Impacket для дальнейшего углубления своего доступа.

Одним из наиболее тревожных аспектов их стратегии является их способность скомпрометировать Microsoft Entra ID (ранее Azure Active Directory) и переключаться между локальными сетями и облачными платформами. Они либо захватывают учетные записи администраторов со слабыми учетными данными, либо эксплуатируют учетные записи, в которых отсутствует многофакторная аутентификация (MFA). Это дает им возможность извлекать конфиденциальные данные, зашифровывать их и развертывать программы-вымогатели, такие как Embargo, по всем сетям.

Программы-вымогатели и вымогательство: последний удар

Получив контроль, Storm-0501 часто прибегает к развертыванию программ-вымогателей, шифруя критические файлы и требуя выкуп. Однако в некоторых случаях они могут решить сохранить только бэкдор-доступ без развертывания программ-вымогателей. Это позволяет им иметь постоянный контроль над скомпрометированной сетью, потенциально оставляя организации в неведении об их присутствии в течение длительного времени.

Кампании по вымогательству Storm-0501 не ограничиваются только шифрованием файлов. Они также используют тактику двойного вымогательства, угрожая раскрыть конфиденциальные данные, если выкуп не будет выплачен. Это создает двойную угрозу для жертвы — либо заплатить, чтобы сохранить конфиденциальность данных, либо рисковать как простоем работы, так и публичным раскрытием конфиденциальной информации.

Защита вашей организации от шторма-0501

Учитывая многогранный подход к атаке Storm-0501, организациям необходимо быть бдительными и проактивными в своих усилиях по обеспечению кибербезопасности. Вот ключевые стратегии для защиты от этой угрозы:

1. Усиление безопасности учетных данных

Storm-0501 часто использует слабые учетные данные для получения доступа к организациям. Крайне важно обеспечить, чтобы все учетные записи, особенно с административными привилегиями, имели надежные уникальные пароли. Кроме того, принудительное применение многофакторной аутентификации (MFA) для всех учетных записей пользователей, особенно облачных, добавляет дополнительный уровень безопасности. Отключение неиспользуемых учетных записей и регулярный аудит разрешений учетных записей для предотвращения чрезмерно привилегированного доступа также являются важными практиками.

2. Устранение известных уязвимостей

Storm-0501 часто использует неисправленное программное обеспечение и известные уязвимости. Обеспечение своевременных обновлений и исправлений для всех систем, особенно тех, которые имеют интернет-сервисы, может значительно снизить вероятность эксплуатации. Уязвимости в таких платформах, как Zoho ManageEngine и Citrix NetScaler, были ключевыми векторами атак для этой группы, что делает управление исправлениями критически важной стратегией защиты.

3. Отслеживайте необычную активность

Storm-0501 выполняет обширную разведку перед развертыванием программы-вымогателя. Организации могут обнаружить эти ранние признаки, отслеживая необычную сетевую активность, особенно в отношении использования учетных данных и горизонтального перемещения. Внедрение передовых систем обнаружения угроз, которые распознают использование таких инструментов, как Cobalt Strike и AnyDesk, может помочь обнаружить вторжения до их эскалации.

4. Регулярно создавайте резервные копии данных

В случае успешного развертывания программы-вымогателя одним из наиболее эффективных способов минимизации ущерба является безопасное и частое резервное копирование. Убедитесь, что резервные копии хранятся вне сети и не могут быть легко доступны злоумышленникам, получившим доступ к сети. Регулярное тестирование резервных копий так же важно, чтобы гарантировать их восстановление в чрезвычайной ситуации.

5. Обучайте и тренируйте свой персонал

Человеческая ошибка часто позволяет киберугрозам проникать в системы. Регулярные программы обучения персонала, которые фокусируются на фишинговых атаках и тактике социальной инженерии, могут предотвратить непреднамеренное предоставление доступа злоумышленникам со стороны персонала.

Осведомленность и действие — ключ к успеху

Storm-0501 — это адаптивный и находчивый субъект угроз, нацеленный на критическую инфраструктуру. Его способность компрометировать как локальные, так и облачные среды делает его грозным противником. Однако с упреждающим подходом к кибербезопасности, сосредоточенным на сильном управлении учетными данными, регулярном исправлении и раннем обнаружении, организации могут эффективно защитить себя от этой развивающейся угрозы.

Осознание тактики, используемой такими группами, как Storm-0501, является первым шагом на пути к созданию безопасной и устойчивой среды, в которой гибридная облачная инфраструктура остается стратегическим активом, а не уязвимостью.