Storm-0501

Storm-0501 es un grupo de ransomware con motivación financiera, rastreado por Microsoft, que se ha expandido a los ataques cloud híbridos. Pivota desde el Active Directory local hacia Microsoft Entra ID y construye un dominio federado como puerta trasera. Después exfiltra datos y despliega el ransomware Embargo o mantiene un acceso persistente al cloud.

Técnicas cloud

• Compromete cuentas de Entra Connect Sync para llegar al tenant cloud
• Restablece las contraseñas cloud de cuentas híbridas sincronizadas con AADInternals
• Ataques de password spraying para encontrar cuentas cloud y de administración válidas
• Añade un dominio federado malicioso para falsificar tokens SAML
• Usa tokens falsificados para suplantar a cualquier usuario y saltarse la MFA

Técnicas de MITRE ATT&CK

Referencias

• Storm-0501: Ransomware attacks expanding to hybrid cloud environments
• Storm-0501's evolving techniques lead to cloud-based ransomware