Storm-0501

Técnicas (MITRE ATT&CK)42

FonteMITRE ATT&CK

Análise Vexday

Storm-0501 é um grupo cibercriminoso com motivação financeira ativo desde 2021, especializado em operações de ransomware com uso de ferramentas de código aberto e commodities. O grupo possui histórico de afiliação com múltiplas plataformas de Ransomware-as-a-Service (RaaS), incluindo Sabbath, Hive, BlackCat, Hunters International, LockBit 3.0 e Embargo. Catalogado no MITRE ATT&CK sob o identificador G1053, tem 42 técnicas documentadas e 7 CVEs atribuídas a seu repertório de exploração.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal79

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 42

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Digital Certificates Vulnerabilities

Acesso inicial

Exploit Public-Facing Application

Execução

Scheduled Task PowerShell Cloud API

Persistência

Additional Cloud Credentials Additional Cloud Roles

Acesso a credenciais

OS Credential Dumping DCSync Brute Force Private Keys Password Managers Cloud Secrets Management Stores

Descoberta

Process Discovery System Information Discovery Domain Account Cloud Account Domain Trust Discovery Security Software Discovery Cloud Service Discovery Cloud Infrastructure Discovery System Language Discovery

Movimento lateral

Windows Remote Management Cloud Services

Coleta

Data from Cloud Storage

Comando e controle

Remote Desktop Software

Exfiltração

Transfer Data to Cloud Account Exfiltration to Cloud Storage

Impacto

Data Destruction Data Encrypted for Impact Inhibit System Recovery Financial Theft

defense-impairment

Group Policy Modification Trust Modification Conditional Access Policies Delete Cloud Instance

stealth

Software Packing Masquerade Task or Service Cloud Accounts Regsvr32 Rundll32

Vulnerabilidades exploradas 7

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2023-4966CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2023-29300CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2022-47966CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2023-38203CRITICALEPSS 97%KEV MITRE ATT&CK

CVE-2016-6662EPSS 68% MITRE ATT&CK

CVE-2019-3610MEDIUMEPSS 0% MITRE ATT&CK

Infraestrutura conhecida 2986

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox

urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox

ip:port154.12.17.20:8080Cobalt Strikethreatfox

ip:port154.12.17.20:22Cobalt Strikethreatfox

ip:port154.12.17.20:443Cobalt Strikethreatfox

ip:port154.12.17.20:80Cobalt Strikethreatfox

ip:port129.204.55.230:443Cobalt Strikethreatfox

ip:port47.94.56.71:8080Cobalt Strikethreatfox

ip:port47.94.56.71:80Cobalt Strikethreatfox

ip:port47.94.56.71:443Cobalt Strikethreatfox

ip:port45.227.253.132:8080Cobalt Strikethreatfox

ip:port45.227.253.132:80Cobalt Strikethreatfox

ip:port45.227.253.132:443Cobalt Strikethreatfox

ip:port45.227.253.132:32775Cobalt Strikethreatfox

ip:port117.158.148.164:65535Cobalt Strikethreatfox

ip:port38.76.190.209:8888Cobalt Strikethreatfox

ip:port188.227.14.105:8080Cobalt Strikethreatfox

ip:port186.241.115.168:12443Cobalt Strikethreatfox

ip:port109.206.247.245:10881Cobalt Strikethreatfox

ip:port43.134.112.45:7500Cobalt Strikethreatfox

ip:port43.134.112.45:7000Cobalt Strikethreatfox

ip:port43.134.112.45:80Cobalt Strikethreatfox

ip:port43.134.112.45:8080Cobalt Strikethreatfox

ip:port43.134.112.45:443Cobalt Strikethreatfox

ip:port43.134.112.45:22Cobalt Strikethreatfox

ip:port101.34.208.175:18317Cobalt Strikethreatfox

sha1_hash2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfox

md5_hashe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox

sha256_hash35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox

sha256_hash224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox

+2986 indicadores no total. Veja todos na página de IOCs.

Referências

microsoft.com ↗

O grupo Storm-0501 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →