Storm-0501

Storm-0501 は、Microsoft が追跡する金銭目的のランサムウェアグループで、ハイブリッドクラウド攻撃へと活動を広げています。オンプレミスの Active Directory から Microsoft Entra ID へと侵入し、バックドアとなるフェデレーションドメインを構築します。その後、データを窃取し、Embargo ランサムウェアを展開するか、クラウドへの永続的なアクセスを維持します。

クラウドでの手口

• Entra Connect Sync アカウントを侵害してクラウドテナントに到達します
• AADInternals を使って同期されたハイブリッドアカウントのクラウドパスワードをリセットします
• 有効なクラウドおよび管理者アカウントを見つけるためにパスワードスプレーを行います
• SAML トークンを偽造するために悪意のあるフェデレーションドメインを追加します
• 偽造したトークンを使って任意のユーザーになりすまし、MFA を回避します

MITRE ATT&CK テクニック

参考資料

• Storm-0501: Ransomware attacks expanding to hybrid cloud environments
• Storm-0501's evolving techniques lead to cloud-based ransomware