Storm-0501

Técnicas (MITRE ATT&CK)42

FonteMITRE ATT&CK

Análise Vexday

Storm-0501 é um grupo cibercriminoso com motivação financeira ativo desde 2021, especializado em operações de ransomware com uso de ferramentas de código aberto e commodities. O grupo possui histórico de afiliação com múltiplas plataformas de Ransomware-as-a-Service (RaaS), incluindo Sabbath, Hive, BlackCat, Hunters International, LockBit 3.0 e Embargo. Catalogado no MITRE ATT&CK sob o identificador G1053, tem 42 técnicas documentadas e 7 CVEs atribuídas a seu repertório de exploração.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal79

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 42

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Digital Certificates Vulnerabilities

Acesso inicial

Exploit Public-Facing Application

Execução

Scheduled Task PowerShell Cloud API

Persistência

Additional Cloud Credentials Additional Cloud Roles

Acesso a credenciais

OS Credential Dumping DCSync Brute Force Private Keys Password Managers Cloud Secrets Management Stores

Descoberta

Process Discovery System Information Discovery Domain Account Cloud Account Domain Trust Discovery Security Software Discovery Cloud Service Discovery Cloud Infrastructure Discovery System Language Discovery

Movimento lateral

Windows Remote Management Cloud Services

Coleta

Data from Cloud Storage

Comando e controle

Remote Desktop Software

Exfiltração

Transfer Data to Cloud Account Exfiltration to Cloud Storage

Impacto

Data Destruction Data Encrypted for Impact Inhibit System Recovery Financial Theft

defense-impairment

Group Policy Modification Trust Modification Conditional Access Policies Delete Cloud Instance

stealth

Software Packing Masquerade Task or Service Cloud Accounts Regsvr32 Rundll32

Vulnerabilidades exploradas 7

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2023-4966CRITICALEPSS 100%KEV CVE-2023-29300CRITICALEPSS 100%KEV CVE-2014-7169CRITICALEPSS 100%KEV CVE-2022-47966CRITICALEPSS 100%KEV CVE-2023-38203CRITICALEPSS 97%KEV CVE-2016-6662EPSS 68%CVE-2019-3610MEDIUMEPSS 0%

Infraestrutura conhecida 1198

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port159.75.123.199:443Cobalt Strikethreatfox

ip:port159.75.123.199:8080Cobalt Strikethreatfox

ip:port159.75.123.199:80Cobalt Strikethreatfox

ip:port159.75.123.199:1111Cobalt Strikethreatfox

ip:port114.67.98.107:54325Cobalt Strikethreatfox

ip:port35.209.195.28:8080Cobalt Strikethreatfox

ip:port35.209.195.28:22Cobalt Strikethreatfox

ip:port35.209.195.28:443Cobalt Strikethreatfox

ip:port43.225.157.17:22Cobalt Strikethreatfox

ip:port35.209.195.28:80Cobalt Strikethreatfox

ip:port43.225.157.17:8000Cobalt Strikethreatfox

ip:port43.225.157.17:443Cobalt Strikethreatfox

ip:port43.225.157.17:888Cobalt Strikethreatfox

ip:port43.225.157.17:80Cobalt Strikethreatfox

ip:port43.225.157.17:8080Cobalt Strikethreatfox

ip:port43.225.157.17:8009Cobalt Strikethreatfox

ip:port192.252.179.24:22Cobalt Strikethreatfox

ip:port178.128.80.204:8080Cobalt Strikethreatfox

ip:port178.128.80.204:443Cobalt Strikethreatfox

ip:port178.128.80.204:80Cobalt Strikethreatfox

ip:port47.94.224.229:80Cobalt Strikethreatfox

ip:port146.56.227.227:9443Cobalt Strikethreatfox

domaincf.lala1.latCobalt Strikethreatfox

ip:port47.94.224.229:8080Cobalt Strikethreatfox

ip:port47.94.224.229:443Cobalt Strikethreatfox

ip:port43.254.166.41:8082Cobalt Strikethreatfox

ip:port192.252.185.78:22Cobalt Strikethreatfox

ip:port47.94.224.229:1111Cobalt Strikethreatfox

ip:port36.140.162.173:6666Cobalt Strikethreatfox

ip:port213.199.55.80:9090Cobalt Strikethreatfox

+1198 indicadores no total. Veja todos na página de IOCs.

Referências

microsoft.com ↗

O grupo Storm-0501 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →