Storm-0501: Neue Bedrohung für hybride Cloud-Umgebungen

LONDON (IT BOLTWISE) – Eine neue Bedrohung durch den Akteur Storm-0501 zeigt, wie verwundbar hybride Cloud-Umgebungen sein können. Der Fokus liegt auf der Exfiltration und Löschung von Daten in Azure, was Unternehmen vor große Herausforderungen stellt.

Der Bedrohungsakteur Storm-0501 hat seine Taktiken verfeinert, um gezielte Angriffe auf Cloud-Umgebungen durchzuführen. Anders als bei herkömmlicher Ransomware, die auf On-Premises-Systemen eingesetzt wird, nutzt Storm-0501 die nativen Fähigkeiten der Cloud, um große Datenmengen schnell zu exfiltrieren und zu zerstören. Dies geschieht ohne den Einsatz traditioneller Malware, was die Bedrohung besonders heimtückisch macht.

Microsoft hat Storm-0501 erstmals vor etwa einem Jahr dokumentiert und die Angriffe auf hybride Cloud-Umgebungen beschrieben. Die Gruppe, die seit 2021 aktiv ist, hat sich zu einem Ransomware-as-a-Service (RaaS)-Affiliate entwickelt und verschiedene Ransomware-Payloads bereitgestellt, darunter Sabbath, Hive und LockBit. Die Fähigkeit von Storm-0501, sich zwischen On-Premises- und Cloud-Umgebungen zu bewegen, zeigt, wie Bedrohungsakteure sich an die zunehmende Verbreitung hybrider Cloud-Umgebungen anpassen.

Typische Angriffsketten beginnen mit dem Missbrauch von Zugängen, um eine Privilegieneskalation zu einem Domänenadministrator zu erreichen. Anschließend erfolgt eine laterale Bewegung und Aufklärung innerhalb des Netzwerks, um die Cloud-Umgebung des Ziels zu kompromittieren. In einer kürzlichen Kampagne gegen ein großes Unternehmen nutzte Storm-0501 Evil-WinRM für die laterale Bewegung und führte einen DCSync-Angriff durch, um Anmeldeinformationen aus dem Active Directory zu extrahieren.

Die Angreifer nutzten ihre Position im Active Directory, um zwischen Domänen zu wechseln und schließlich einen zweiten Entra Connect-Server zu kompromittieren. Dies ermöglichte ihnen, eine nicht-menschliche synchronisierte Identität mit einer Global Admin-Rolle in Microsoft Entra ID zu identifizieren, die keine Multi-Faktor-Authentifizierung (MFA) hatte. Mit dem kompromittierten Konto konnten sie auf das Azure-Portal zugreifen, eine eigene Entra ID-Domäne registrieren und ihre Zugriffsrechte erhöhen, um Daten zu exfiltrieren und zu löschen.

Nach der Exfiltration initiierte Storm-0501 die Massenlöschung der Azure-Ressourcen, um die Opfer daran zu hindern, durch Datenwiederherstellung Gegenmaßnahmen zu ergreifen. Anschließend forderten sie Lösegeld, indem sie die Opfer über Microsoft Teams kontaktierten. Microsoft hat daraufhin Änderungen in Microsoft Entra ID vorgenommen, um den Missbrauch von Directory Synchronization Accounts zu verhindern, und Updates für Microsoft Entra Connect veröffentlicht, um die Sicherheit zu erhöhen.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KI-Sprachrekorder, Plaud NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

64,59 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!