Storm-0501

APT / EstatalG1053 ↗
Técnicas (MITRE ATT&CK)42
FuenteMITRE ATT&CK
0

Análisis Vexday

Storm-0501 é um grupo cibercriminoso com motivação financeira ativo desde 2021, especializado em operações de ransomware com uso de ferramentas de código aberto e commodities. O grupo possui histórico de afiliação com múltiplas plataformas de Ransomware-as-a-Service (RaaS), incluindo Sabbath, Hive, BlackCat, Hunters International, LockBit 3.0 e Embargo. Catalogado no MITRE ATT&CK sob o identificador G1053, tem 42 técnicas documentadas e 7 CVEs atribuídas a seu repertório de exploração.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal79
Impacto: Alto
T1190T1053.005T1098.001T1003T1530T1537ENTRYAcceso inicialExploitPublic-Facing App…EXECEjecuciónScheduled TaskPERSPersistenciaAdditional CloudCredentialsCREDAcceso a credencialesOS CredentialDumpingCOLLRecolecciónData from CloudStorageEXFILExfiltraciónTransfer Data toCloud AccountIMPACTImpactoData Destruction

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 42

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos
Digital CertificatesVulnerabilities
Acceso inicial
Exploit Public-Facing Application
Ejecución
Scheduled TaskPowerShellCloud API
Persistencia
Additional Cloud CredentialsAdditional Cloud Roles
Acceso a credenciales
OS Credential DumpingDCSyncBrute ForcePrivate KeysPassword ManagersCloud Secrets Management Stores
Descubrimiento
Process DiscoverySystem Information DiscoveryDomain AccountCloud AccountDomain Trust DiscoverySecurity Software DiscoveryCloud Service DiscoveryCloud Infrastructure DiscoverySystem Language Discovery
Movimiento lateral
Windows Remote ManagementCloud Services
Recolección
Data from Cloud Storage
Comando y control
Remote Desktop Software
Exfiltración
Transfer Data to Cloud AccountExfiltration to Cloud Storage
Impacto
Data DestructionData Encrypted for ImpactInhibit System RecoveryFinancial Theft
defense-impairment
Group Policy ModificationTrust ModificationConditional Access PoliciesDelete Cloud Instance
stealth
Software PackingMasquerade Task or ServiceCloud AccountsRegsvr32Rundll32

Vulnerabilidades explotadas 7

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2023-4966CRITICALEPSS 100%KEVCVE-2023-29300CRITICALEPSS 100%KEVCVE-2014-7169CRITICALEPSS 100%KEVCVE-2022-47966CRITICALEPSS 100%KEVCVE-2023-38203CRITICALEPSS 97%KEVCVE-2016-6662EPSS 68%CVE-2019-3610MEDIUMEPSS 0%

Infraestructura conocida 1255

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port68.64.182.169:110Cobalt Strikethreatfox
ip:port68.64.182.169:465Cobalt Strikethreatfox
ip:port101.42.255.92:8443Cobalt Strikethreatfox
ip:port68.64.182.169:995Cobalt Strikethreatfox
ip:port68.64.182.169:7000Cobalt Strikethreatfox
ip:port68.64.182.169:8000Cobalt Strikethreatfox
ip:port68.64.182.169:7010Cobalt Strikethreatfox
ip:port8.163.59.20:22Cobalt Strikethreatfox
ip:port178.128.80.204:22Cobalt Strikethreatfox
ip:port68.64.182.169:4190Cobalt Strikethreatfox
ip:port68.64.182.169:993Cobalt Strikethreatfox
ip:port91.92.42.118:13019Cobalt Strikethreatfox
ip:port118.31.18.77:2301Cobalt Strikethreatfox
ip:port119.29.122.42:8080Cobalt Strikethreatfox
ip:port68.64.182.169:587Cobalt Strikethreatfox
ip:port119.29.122.42:80Cobalt Strikethreatfox
ip:port119.29.122.42:443Cobalt Strikethreatfox
ip:port68.64.182.169:3306Cobalt Strikethreatfox
ip:port68.64.182.169:8010Cobalt Strikethreatfox
ip:port68.64.182.169:5727Cobalt Strikethreatfox
ip:port68.64.182.169:111Cobalt Strikethreatfox
ip:port68.64.182.169:443Cobalt Strikethreatfox
ip:port68.64.182.169:8080Cobalt Strikethreatfox
ip:port159.75.123.199:21Cobalt Strikethreatfox
ip:port68.64.183.127:8090Cobalt Strikethreatfox
ip:port68.64.183.127:5555Cobalt Strikethreatfox
ip:port139.196.217.227:80Cobalt Strikethreatfox
ip:port159.75.123.199:5003Cobalt Strikethreatfox
ip:port156.239.47.245:80Cobalt Strikethreatfox
ip:port156.239.47.245:8080Cobalt Strikethreatfox

+1255 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo Storm-0501 usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →