Storm-0501

Storm-0501은 Microsoft가 추적하는 금전적 동기의 랜섬웨어 그룹으로, 하이브리드 클라우드 공격으로 활동 범위를 확장했습니다. 온프레미스 Active Directory에서 Microsoft Entra ID로 피벗하여 백도어 페더레이션 도메인을 구축합니다. 이후 데이터를 유출하고 Embargo 랜섬웨어를 배포하거나 지속적인 클라우드 접근을 유지합니다.

클라우드 공격 수법

• Entra Connect Sync 계정을 침해하여 클라우드 테넌트에 도달합니다
• AADInternals로 동기화된 하이브리드 계정의 클라우드 비밀번호를 재설정합니다
• 유효한 클라우드 및 관리자 계정을 찾기 위해 패스워드 스프레이를 수행합니다
• SAML 토큰을 위조하기 위해 악성 페더레이션 도메인을 추가합니다
• 위조된 토큰을 사용하여 모든 사용자를 사칭하고 MFA를 우회합니다

MITRE ATT&CK 기법

참고 자료

• Storm-0501: Ransomware attacks expanding to hybrid cloud environments
• Storm-0501's evolving techniques lead to cloud-based ransomware