Storm-0501

APT / EstatalG1053 ↗
Técnicas (MITRE ATT&CK)42
FuenteMITRE ATT&CK
0

Sobre el grupo

Storm-0501 is a financially motivated cyber criminal group that uses commodity and open-source tools to conduct ransomware operations. Storm-0501 has been active since 2021 and has previously been affiliated with Sabbath Ransomware and other Ransomware-as-a-Service (RaaS) variants such as Hive, BlackCat, Hunters International, LockBit 3.0, and Embargo ransomware.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal79
Impacto: Alto
T1190T1053.005T1098.001T1003T1530T1537ENTRYAcceso inicialExploitPublic-Facing App…EXECEjecuciónScheduled TaskPERSPersistenciaAdditional CloudCredentialsCREDAcceso a credencialesOS CredentialDumpingCOLLRecolecciónData from CloudStorageEXFILExfiltraciónTransfer Data toCloud AccountIMPACTImpactoData Destruction

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 42

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos
Digital CertificatesVulnerabilities
Acceso inicial
Exploit Public-Facing Application
Ejecución
Scheduled TaskPowerShellCloud API
Persistencia
Additional Cloud CredentialsAdditional Cloud Roles
Acceso a credenciales
OS Credential DumpingDCSyncBrute ForcePrivate KeysPassword ManagersCloud Secrets Management Stores
Descubrimiento
Process DiscoverySystem Information DiscoveryDomain AccountCloud AccountDomain Trust DiscoverySecurity Software DiscoveryCloud Service DiscoveryCloud Infrastructure DiscoverySystem Language Discovery
Movimiento lateral
Windows Remote ManagementCloud Services
Recolección
Data from Cloud Storage
Comando y control
Remote Desktop Software
Exfiltración
Transfer Data to Cloud AccountExfiltration to Cloud Storage
Impacto
Data DestructionData Encrypted for ImpactInhibit System RecoveryFinancial Theft
defense-impairment
Group Policy ModificationTrust ModificationConditional Access PoliciesDelete Cloud Instance
stealth
Software PackingMasquerade Task or ServiceCloud AccountsRegsvr32Rundll32

Vulnerabilidades explotadas 7

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2023-4966CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2023-29300CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2022-47966CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2023-38203CRITICALEPSS 97%KEV MITRE ATT&CK
CVE-2016-6662EPSS 68% MITRE ATT&CK
CVE-2019-3610MEDIUMEPSS 0% MITRE ATT&CK

Infraestructura conocida 2986

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox
urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox
ip:port154.12.17.20:8080Cobalt Strikethreatfox
ip:port154.12.17.20:22Cobalt Strikethreatfox
ip:port154.12.17.20:443Cobalt Strikethreatfox
ip:port154.12.17.20:80Cobalt Strikethreatfox
ip:port129.204.55.230:443Cobalt Strikethreatfox
ip:port47.94.56.71:8080Cobalt Strikethreatfox
ip:port47.94.56.71:80Cobalt Strikethreatfox
ip:port47.94.56.71:443Cobalt Strikethreatfox
ip:port45.227.253.132:8080Cobalt Strikethreatfox
ip:port45.227.253.132:80Cobalt Strikethreatfox
ip:port45.227.253.132:443Cobalt Strikethreatfox
ip:port45.227.253.132:32775Cobalt Strikethreatfox
ip:port117.158.148.164:65535Cobalt Strikethreatfox
ip:port38.76.190.209:8888Cobalt Strikethreatfox
ip:port188.227.14.105:8080Cobalt Strikethreatfox
ip:port186.241.115.168:12443Cobalt Strikethreatfox
ip:port109.206.247.245:10881Cobalt Strikethreatfox
ip:port43.134.112.45:7500Cobalt Strikethreatfox
ip:port43.134.112.45:7000Cobalt Strikethreatfox
ip:port43.134.112.45:80Cobalt Strikethreatfox
ip:port43.134.112.45:8080Cobalt Strikethreatfox
ip:port43.134.112.45:443Cobalt Strikethreatfox
ip:port43.134.112.45:22Cobalt Strikethreatfox
ip:port101.34.208.175:18317Cobalt Strikethreatfox
sha1_hash2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfox
md5_hashe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox
sha256_hash35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox
sha256_hash224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox

+2986 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo Storm-0501 usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →