Microsoft ha revelado que el grupo Storm-1175, vinculado a campañas de Medusa ransomware, está utilizando vulnerabilidades zero-day y n-day en ataques altamente rápidos y sofisticados.
Este grupo, de origen chino y motivado financieramente, destaca por su capacidad para explotar fallos de seguridad en cuestión de horas o incluso antes de que existan parches disponibles.
Ataques en tiempo récord: de acceso a ransomware en 24 horas
Uno de los aspectos más preocupantes de Storm-1175 es su velocidad de operación.
Según Microsoft, los atacantes pueden:
- Obtener acceso inicial a sistemas vulnerables
- Escalar privilegios y moverse lateralmente
- Exfiltrar datos sensibles
- Desplegar ransomware
Todo esto en menos de 24 horas en algunos casos, lo que reduce drásticamente la capacidad de respuesta de las organizaciones.
Explotación masiva de vulnerabilidades críticas
El grupo ha sido observado explotando más de 16 vulnerabilidades en al menos 10 productos diferentes, incluyendo:
- Servidores Microsoft Exchange
- Herramientas de gestión remota
- Plataformas de transferencia de archivos
- Software empresarial y de soporte
Además, han utilizado vulnerabilidades zero-day como fallos en SmarterMail o exploits antes de parcheo en soluciones como GoAnywhere MFT.
Técnicas avanzadas de persistencia y evasión
Storm-1175 no solo explota vulnerabilidades, sino que combina múltiples técnicas para asegurar el control del sistema comprometido:
- Creación de nuevas cuentas de usuario
- Instalación de herramientas de acceso remoto
- Robo de credenciales
- Desactivación de soluciones de seguridad
Este enfoque en cadena les permite mantener persistencia incluso tras intentos de mitigación.
Impacto en sectores críticos
Los ataques han afectado a múltiples sectores, incluyendo:
- Sanidad
- Educación
- Servicios profesionales
- Finanzas
Con víctimas en países como Estados Unidos, Reino Unido y Australia.
Según alertas previas, el ransomware Medusa ha impactado a cientos de organizaciones de infraestructura crítica.
Una amenaza en constante evolución
Microsoft advierte que Storm-1175 está mejorando sus capacidades, posiblemente mediante acceso a brokers de exploits o desarrollo interno de nuevas herramientas.
Aunque sigue explotando vulnerabilidades conocidas (n-day), su capacidad para anticiparse a parches y utilizar zero-days lo convierte en una amenaza especialmente peligrosa.