Storm 1175 y Medusa la campaña que acelera el daño con día cero y herramientas legítimas

En los últimos meses ha vuelto a quedar en evidencia una regla que todo responsable de seguridad debería tener clavada: cuando un actor malicioso combina velocidad, conocimiento técnico y acceso a exploits de día cero, el margen de respuesta se reduce drásticamente. Un grupo vinculado a China, identificado por los equipos de inteligencia como Storm‑1175, ha venido explotando esa combinación para infiltrar redes expuestas en Internet y desplegar el ransomware conocido como Medusa. Su modus operandi se basa en movimientos rápidos, encadenamiento de vulnerabilidades y el uso estratégico de herramientas legítimas, lo que dificulta la detección y acelera el daño.

Los investigadores de Microsoft han documentado cómo esta banda no se limita a aprovechar fallos ya divulgados: en múltiples ocasiones ha usado vulnerabilidades de día cero antes de que fuesen públicas y ha mezclado exploits recientes con otros ya conocidos para abrir puertas y avanzar en el entorno comprometido. El resultado ha sido intrusiones que han afectado con especial intensidad a organizaciones sanitarias, pero también a centros educativos, despachos profesionales y entidades financieras en países como Australia, Reino Unido y Estados Unidos. Para más contexto sobre el trabajo de Microsoft en estas investigaciones, conviene revisar su sección de seguridad: Microsoft Security Blog.

Una de las características que hace peligrosos a actores como Storm‑1175 es la rapidez con la que transforman acceso en impacto. En varios incidentes han logrado robar información y cifrar sistemas en cuestión de días; en casos aislados, incluso en menos de 24 horas desde la puerta inicial. Esa cadencia exige no solo parches, sino detección temprana y medidas impuestas con rapidez. Entre las vulnerabilidades explotadas por el grupo desde 2023 se incluyen fallos en servidores de correo, plataformas de gestión remota y herramientas de colaboración, muchos de los cuales están registrados de forma pública en bases como la del NIST (NVD). Para consultar ejemplos concretos puede verse, por ejemplo, la ficha de CVE‑2023‑21529 en NVD: CVE-2023-21529, o la de CVE‑2024‑1708 relacionada con soluciones de control remoto: CVE-2024-1708. Además, si quiere seguir las vulnerabilidades explotadas de forma masiva y priorizar parcheo, la guía de CISA sobre vulnerabilidades explotadas conocidas es un recurso útil: CISA – Known Exploited Vulnerabilities Catalog.

Más allá del abanico de fallos técnicos, la táctica de Storm‑1175 revela otra tendencia preocupante: la reutilización de herramientas legítimas para ocultar actividad maliciosa. Los atacantes suelen apoyarse en RMM (Remote Monitoring and Management), aplicaciones de administración remota o utilidades del sistema —las llamadas LOLBins— para moverse lateralmente y minimizar el ruido. Herramientas como PowerShell, PsExec, utilidades de gestión remota comerciales y paquetes de despliegue se han empleado tanto para ejecutar comandos legítimos como para propagar cargas maliciosas. Esa mezcla complica la identificación del ataque porque el tráfico y las acciones encajan con patrones administrativos válidos.

En la fase de post‑intrusión la cadena típica que han observado los analistas incluye creación de cuentas nuevas para persistencia, instalación de web shells, abuso de RMM comercial para desplazarse por la red, volcado de credenciales con herramientas como Mimikatz o frameworks de red, y la configuración de exclusiones en soluciones antivirus para evitar que los binarios maliciosos sean bloqueados. Para la exfiltración de información se ha reportado el uso de utilidades de archivado y sincronización que facilitan empaquetar y mover grandes volúmenes de datos fuera de la red. Todo ello culmina con la activación de Medusa, que cifra activos y suele ir acompañada de demandas de rescate.

Frente a este escenario hay medidas concretas y pragmáticas que, sin ser infalibles, suben de forma notable el coste de operación para los atacantes. La primera es cerrar la ventana temporal entre divulgación de un parche y su aplicación: no basta con conocer los parches, hay que desplegarlos con prioridad en las superficies expuestas. La segmentación de redes y la limitación del acceso a servicios críticos desde Internet ayudan a reducir el “alcance” de un exploit exitoso. Es igualmente importante controlar y auditar el uso de herramientas de administración remota; si se usan, deben estar configuradas con autenticación fuerte, acceso limitado, y propuestas de monitorización específica. Para quienes gestionan entornos empresariales, las recomendaciones de reforzar autenticación multifactor, limitar privilegios, habilitar telemetría y preparar procedimientos de respuesta ante incidentes siguen siendo válidas y urgentes.

Hay además una lección organizativa: los atacantes financieros como Storm‑1175 explotan no solo vulnerabilidades técnicas, sino procesos lentos o fragmentados. Una entidad con políticas de parcheo dispersas, sin inventario completo de servicios expuestos o con uso intensivo de soluciones de terceros (RMM, herramientas de soporte) ofrece un terreno mucho más fértil que una que tenga control estricto de su perímetro y visibilidad continua de su telemetría. El trabajo es tanto técnico como humano: formar a equipos, revisar contratos y dependencias externas, y mantener playbooks de respuesta puede marcar la diferencia.

Para quienes deseen profundizar en detalles técnicos y en las señales de compromiso que este tipo de campañas deja tras de sí, es recomendable combinar fuentes de fabricantes de seguridad con bases de datos de vulnerabilidades y avisos nacionales. Además del blog de Microsoft citado más arriba y la base de datos NVD, los avisos de agencias como CISA o los informes de proveedores de detección y respuesta ofrecen indicadores y propuestas de mitigación con ejemplos prácticos. Por ejemplo, la lista de vulnerabilidades explotadas por actores activos puede consultarse y cruzarse con su inventario para priorizar acciones: NVD – National Vulnerability Database y CISA son buenos puntos de partida.

Que una banda como Storm‑1175 privilegie la rapidez, las cadenas de exploits y el uso de infraestructura legítima es un recordatorio de que la seguridad moderna exige ritmo y disciplina. No se trata solo de poner parches, sino de construir controles que detecten anomalías en el uso de herramientas administrativas, que restrinjan el movimiento lateral y que permitan actuar en horas, no en semanas. En un mundo donde los atacantes pueden acceder a vulnerabilidades antes de su divulgación pública, la resiliencia y la respuesta organizada son la mejor defensa.