Storm 1175 und Medusa die Kampagne, die den Schaden mit null Tag und legitimen Werkzeugen beschleunigt

In den letzten Monaten ist eine Regel, die jeder Sicherheitsoffizier haben sollte, offensichtlich geworden: wenn ein schädlicher Schauspieler Geschwindigkeit, technisches Wissen und Zugang zu Zero-Day-Ausbeuten kombiniert, wird die Antwortmarge drastisch reduziert. Eine Gruppe, die mit China verbunden ist, die von Geheimdienstteams wie Storm-1175 identifiziert wurde, hat diese Kombination ausgenutzt, um freiliegende Netzwerke im Internet zu infiltrieren und die ansomware bekannt als Medusa einzusetzen. Sein Modus operandi basiert auf schnellen Bewegungen, Verwundbarkeitsmapping und der strategischen Nutzung legitimer Werkzeuge, die es schwierig macht, den Schaden zu erkennen und zu beschleunigen.

Microsoft-Forscher haben dokumentiert, wie diese Band nicht nur von bereits gemeldeten Fehlern ausnutzt: sie hat wiederholt Zero-Day-Schwachstellen verwendet, bevor sie öffentlich waren und hat jüngste Ausbeutungen mit anderen bereits bekannt, Türen zu öffnen und Fortschritte in der kompromittierten Umgebung gemischt. Das Ergebnis sind Intrusionen, die sich insbesondere auf Gesundheitsorganisationen, aber auch Bildungszentren, Berufsbüros und Finanzinstitute in Ländern wie Australien, Großbritannien und den Vereinigten Staaten auswirken. Für mehr Kontext zu Microsofts Arbeit in diesen Untersuchungen ist es angebracht, seine Sicherheitsabteilung zu überprüfen: Microsoft Security Blog.

Eines der Features, die Schauspieler wie Storm-1175 gefährlich macht, ist die Geschwindigkeit, mit der sie den Zugang in Auswirkungen verwandeln. In mehreren Zwischenfällen haben sie es geschafft, Informationen zu stehlen und Systeme innerhalb von Tagen einzurichten; in isolierten Fällen sogar innerhalb von 24 Stunden der ursprünglichen Tür. Diese Kadenz erfordert nicht nur Patches, sondern frühzeitige Erkennung und schnell auferlegte Maßnahmen. Die seit 2023 von der Gruppe ausgebeuteten Schwachstellen umfassen Fehler in Mailservern, Remote-Management-Plattformen und kollaborative Tools, von denen viele auf Basen wie NIST (NVD) öffentlich registriert sind. Für konkrete Beispiele siehe beispielsweise die Registerkarte CVE-2023-21529 in NVD: CVE-2023-21529 oder CVE-2024-1708 bezogen auf Fernsteuerungslösungen: CVE-2024-1708. Darüber hinaus, wenn Sie die ausgenutzten Sicherheitslücken in einer massiven Weise folgen und Parken priorisieren möchten, ist der CISA-Guide auf bekannten ausgebeuteten Sicherheitslücken eine nützliche Ressource: CISA - Known Exploited Vulnerabilities Catalog.

Über das Spektrum der technischen Fehler hinaus zeigt die Storm-1175 Taktik einen weiteren beunruhigenden Trend: die Wiederverwendung von legitimen Werkzeugen, um bösartige Aktivität zu verbergen. Die Angreifer basieren oft auf RMM (Remote Monitoring and Management), Remote-Administration-Anwendungen oder System-Utilitys - die sogenannten LOLBins -, um sich seitlich zu bewegen und Geräusche zu minimieren. Tools wie PowerShell, PsExec, kommerzielle Remote-Management-Dienstprogramme und Bereitstellungspakete wurden verwendet, um legitime Befehle auszuführen und schädliche Belastungen zu verbreiten. Diese Mischung erschwert die Identifizierung des Angriffs, weil Verkehr und Handlungen gültige administrative Muster passen.

In der Post-Intrusionsphase umfasst die typische Kette, die Analysten beobachtet haben, die Erstellung neuer Konten für Persistenz, Installation von Web-Shells, Missbrauch von kommerziellen RMM über das Netzwerk zu bewegen, das Ablegen von Anmeldeinformationen mit Werkzeugen wie Mimikatz oder Netzwerk-Frames, und die Einstellung von Ausschlüssen in Antiviren-Lösungen, um zu verhindern, dass bösartige Binaries blockiert werden. Zur Exfiltration von Informationen wurde die Verwendung von Archivierungs- und Synchronisationsdiensten gemeldet, die es erleichtern, große Datenmengen außerhalb des Netzes zu verpacken und zu verschieben. All dies endet mit der Aktivierung von Medusa, die aktiv ist und in der Regel von Rettungsforderungen begleitet.

Angesichts dieses Szenarios gibt es konkrete und pragmatische Maßnahmen, die ohne unfehlbar die Betriebskosten für die Angreifer deutlich erhöhen. Das erste ist, das temporäre Fenster zwischen der Offenlegung eines Patches und seiner Anwendung zu schließen: Es genügt nicht, die Patches zu kennen, sie müssen mit Priorität auf den freiliegenden Oberflächen eingesetzt werden. Netzwerksegmentierung und eingeschränkter Zugang zu kritischen Internet-Diensten helfen, das "Reach" einer erfolgreichen Explosion zu reduzieren. Ebenso wichtig ist es, die Verwendung von Remote-Management-Tools zu kontrollieren und zu überprüfen; falls verwendet, müssen sie mit einer starken Authentifizierung, einem begrenzten Zugriff und spezifischen Überwachungsvorschlägen konfiguriert werden. Für diejenigen, die Business-Umgebungen verwalten, sind Empfehlungen zur Stärkung der Multifaktor-Authentifizierung, Einschränkung von Privilegien, ermöglichen Telemetrie und Vorbereitung von Vorfallreaktionsverfahren weiterhin gültig und dringend.

Es gibt auch eine organisatorische Lektion: Finanzangreifer wie Storm-1175 nutzen nicht nur technische Schwachstellen, sondern langsame oder fragmentierte Prozesse. Ein Unternehmen mit verstreuten Patching-Politiken, ohne vollständige Inventar von exponierten Dienstleistungen oder mit intensiver Nutzung von Drittanbieter-Lösungen (RMM, Support-Tools) bietet viel fruchtbarer als eins, das strenge Kontrolle über seinen Umfang und kontinuierliche Sichtbarkeit seiner Telemetrie hat. Die Arbeit ist sowohl technisch als auch menschlich: Trainingsteams, die Überprüfung von Verträgen und externen Abhängigkeiten und die Aufrechterhaltung von Antwort-Playbooks können einen Unterschied machen.

Für diejenigen, die technische Details und die Zeichen des Engagements vertiefen wollen, die diese Art der Kampagne hinter sich lässt, wird empfohlen, Quellen von Sicherheitsherstellern mit nationalen Sicherheitsdatenbanken und Mitteilungen zu kombinieren. Neben dem oben zitierten Microsoft-Blog und der NVD-Datenbank bieten die Mitteilungen von Agenturen wie CISA oder Berichte von Erkennungs- und Antwortanbietern Indikatoren und Minderungsvorschläge mit praktischen Beispielen. Beispielsweise kann die Liste der Schwachstellen, die von aktiven Akteuren ausgenutzt werden, mit ihrem Inventar konsultiert und gekreuzt werden, um Aktionen zu priorisieren: NVD - Nationale Schwachstelle Datenbank und CISA Sie sind gute Ausgangspunkte.

Die Tatsache, dass eine Band wie Storm-1175 eine Priorität auf Geschwindigkeit, explosive Ketten und die Verwendung legitimer Infrastruktur legt, ist eine Erinnerung, dass moderne Sicherheit erfordert Rhythmus und Disziplin. Es geht nicht nur darum, Patches zu setzen, sondern um Gebäudekontrollen, die Anomalien bei der Verwendung von administrativen Werkzeugen erkennen, die die laterale Bewegung einschränken und Maßnahmen in Stunden, nicht Wochen zulassen. In einer Welt, in der Angreifer auf Schwachstellen vor der öffentlichen Offenlegung zugreifen können, sind Widerstandsfähigkeit und organisierte Reaktion die beste Verteidigung.