Storm-0501

Storm-0501 ist eine finanziell motivierte Ransomware-Gruppe, die von Microsoft verfolgt wird und sich auf hybride Cloud-Angriffe ausgeweitet hat. Sie bewegt sich von On-Premises-Active-Directory zu Microsoft Entra ID und baut eine föderierte Backdoor-Domain auf. Anschließend exfiltriert sie Daten und setzt Embargo-Ransomware ein oder behält dauerhaften Cloud-Zugriff.

Cloud-Tradecraft

• Kompromittiert Entra-Connect-Sync-Konten, um den Cloud-Tenant zu erreichen
• Setzt Cloud-Passwörter synchronisierter Hybrid-Konten mit AADInternals zurück
• Führt Password-Spraying durch, um gültige Cloud- und Admin-Konten zu finden
• Fügt eine bösartige föderierte Domain hinzu, um SAML-Tokens zu fälschen
• Nutzt gefälschte Tokens, um sich als beliebigen Benutzer auszugeben und MFA zu umgehen

MITRE ATT&CK-Techniken

Referenzen

• Storm-0501: Ransomware attacks expanding to hybrid cloud environments
• Storm-0501's evolving techniques lead to cloud-based ransomware