Microsoft warnt: Ransomware-Gruppe Storm-0501 greift (Azure) Cloud an, verlangt Zahlungen

[English]Microsoft warnt vor der finanziell motivierten Gruppe Storm-0501, die kontinuierlich mit Angriffen auf Cloud-Instanzen (Azure) zielt. Bei Erfolg werden Daten abgezogen, dann die Originale verschlüsselt und Backups zerstört. Anschließend wird Lösegeld verlangt.

Cloud-Bedrohung: Warnung vor Storm 0501

In einem Beitrag Storm-0501's evolving techniques lead to cloud-based ransomware vom 27. August 2025 warnt Microsoft vor dem finanziell motivierten Bedrohungsakteur Storm-0501.

Microsoft Threat Intelligence hat beobachtet, dass der finanziell motivierte Angreifer Storm-0501 seine Kampagnen kontinuierlich weiterentwickelt. Storm-0501 setzte 2021 bei einem Angriff auf Schulbezirke in den Vereinigten Staaten noch die Ransomware "Sabbath"  ein. Im November 2023 griff Storm-0501 den Gesundheitssektor an und wechselte im Laufe der Jahre mehrfach die verteilte Ransomware (im Jahr 2024 wurde die Ransomware "Embargo" verwendet).

Aktuell konzentriert sich der Angreifer laut Microsoft verstärkt auf cloudbasierte Taktiken, Techniken und Verfahren (TTPs). Der Angreifer sei zwar dafür bekannt, schreibt Redmond, dass er hybride Cloud-Umgebungen ins Visier nimmt. Inzwischen habe sich sein primäres Ziel von der Bereitstellung lokaler Endpunkt-Ransomware hin zur Verwendung cloudbasierter Ransomware-Taktiken verlagert.

Neu: cloudbasierte Ransomware

Gegenüber klassischen Ransomware-Gruppen, die lokale Systeme durch Malware kompromittieren, um wichtige Dateien auf Endgeräten innerhalb des kompromittierten Netzwerks zu verschlüsseln und dann über einen Entschlüsselungscode zu verhandeln,  gibt es in der Cloud Veränderungen. Storm-0501 nutzt für seine cloudbasierte Ransomware auch cloudnative Funktionen, um schnell große Datenmengen zu exfiltrieren, Daten und Backups innerhalb der Umgebung des Opfers zu zerstören und Lösegeld zu fordern. Durch die cloudnative Funktionen ist der Angreifer nicht mehr auf den Einsatz herkömmlicher Malware angewiesen.

Im September 2024 wurde bekannt wie Storm-0501 seine lokalen Ransomware-Operationen auf hybride Cloud-Umgebungen ausweitete. Der Angreifer verschaffte sich Zugang, indem er Active Directory-Umgebungen kompromittierte. Dann wechselte er zu Microsoft Entra ID, wo er die Berechtigungen für Hybrid- und Cloud-Identitäten eskalierte, um globale Administratorrechte zu erlangen. Die Auswirkungen dieser Angriffe nahmen laut zwei Formen an:

• Entweder wurden Backdoors in Entra ID-Mandantenkonfigurationen implantiert, indem böswillig hinzugefügte Verbunddomänen verwendet wurden, um die Anmeldung als nahezu jeder Benutzer zu ermöglichen,
• oder es wurde lokale Ransomware eingesetzt, um Endpunkte und Server zu verschlüsseln, um schließlich Lösegeld für die Entschlüsselungsschlüssel zu fordern.

Es kommt im Microsoft-Beitrag nicht vor, aber mich erinnert das Ganze an die  Ausnutzung der Schwachstelle CVE-2025-53786, die ich Anfang August 2025 im Beitrag  Beitrag Microsoft Exchange Server Hybrid durch CVE-2025-53786 gefährdet erwähnt hatte.

Ablauf einer aktuellen Storm-0501-Kampagne

Microsoft beschreibt im aktuellen Blog-Beitrag den Ablauf eines konkreten Angriffs auf eine Organisation. Dort kompromittierte Storm-0501 ein großes Unternehmen, das aus mehreren Tochtergesellschaften besteht. Jede dieser Töchter betreibt zwar ihre eigene Active Directory-Domäne. Diese Domänen sind durch aber Domänenvertrauensstellungen miteinander verbunden. Dies ermöglicht eine domänenübergreifende Authentifizierung und den Zugriff auf Ressourcen.

Arg komplexe Cloud-Umgebung, aber Praxis

Microsoft skizzierte in seinem Beitrag die Umgebung des Opfers. Active Directory-Domänen wurden beim Opfer mithilfe von Entra Connect Sync-Servern mit mehreren Entra ID-Mandanten synchronisiert. In einigen Fällen wurde eine einzelne Domäne mit mehr als einem Mandanten synchronisiert, was die Identitätsverwaltung und -überwachung weiter erschwerte.

Verschiedene Tochtergesellschaften setzten separate Microsoft Azure-Mandanten mit unterschiedlicher Microsoft Defender-Absicherungen ein. Nur ein Mandant setzte Microsoft Defender for Endpoint eingesetzt und hatte Geräte aus mehreren Active Directory-Domänen in die Lizenz dieses einzelnen Mandanten integriert. Diese fragmentierte Bereitstellung führte laut Microsoft "zu Sichtbarkeitslücken" in der gesamten Umgebung.

Schwachstellen geschickt ausgenutzt

Microsoft zeichnet in seinem länglichen Beitrag nach, wie die Angreifer diese Umgebung und deren Schwachstellen geschickt ausnutzten. Im lokalen Teil des Angriffs überprüften die Angreifer die Endpunkte auf Defender und kompromittierten dann einen Entra Connect Sync-Server, der das Endpunkt-Sicherheitsprodukt nicht verwendete. Microsoft  geht davon aus, dass dieser Server als Dreh- und Angelpunkt diente. Der Angreifer richtete von dort einen Tunnel ein, um sich lateral innerhalb des Netzwerks zu bewegen.

Für diese seitliche Bewegung verwendete die Gruppe Evil-WinRM, ein Post-Exploitation-Tool, das PowerShell über Windows Remote Management (WinRM) für die Remote-Codeausführung missbraucht. Außerdem nutzten sie einen DCSync-Angriff, eine Technik zum Auslesen von Anmeldedaten, mit der sich ein Angreifer durch Missbrauch des Directory Replication Service Remote Protocol als Domänencontroller ausgeben und in dieser Rolle sensible Active Directory-Daten abrufen kann, beispielsweise Passwort-Hashes für alle Benutzer in der Domäne.

Mit diesen gestohlenen Anmeldedaten versuchten die Eindringlinge, sich an mehreren Konten als privilegierte Benutzer anzumelden. Hier wurden sie jedoch blockiert, da die Konten über eine Multi-Faktor-Authentifizierung (MFA) verfügten.

Der Gruppe gelang es, über das Active Directory einen zweiten Entra Connect-Server, der mit einem anderen Entra ID-Mandanten und einer anderen Active Directory-Domäne verbunden war, zu kompromittierten. Von dort starteten sie erneut einen DCSync-Angriff. Diesmal konnte Storm-0501 eine nicht-menschliche synchronisierte Identität identifizieren, der in Microsoft Entra ID auf diesem Mandanten eine globale Administratorrolle zugewiesen war. Und bei dieser war die MFA nicht aktiviert.

Zuerst wurde das das lokale Passwort, das (über Entra Connect Sync) mit der Cloud-ID dieses Benutzers synchronisiert wurde, des Benutzers zurückgesetzt. Anschließend registrierten die Angreifer eine neue, von ihnen kontrollierte MFA-Methode und nutzten dieses Konto, um sich lateral zwischen verschiedenen Geräten im Netzwerk zu bewegen, bis sie schließlich einen hybriden Server fanden, über den sie sich mit dem globalen Administratorkonto beim Azure-Portal anmelden konnten.

Als es dem Angreifer gelang, auf die Conditional Access-Richtlinien zuzugreifen, und sich mit einem globalen Administratorkonto beim Azure-Portal anzumelden, hatte Storm-0501 im Wesentlichen die vollständige Kontrolle über die Cloud-Domäne, schreibt Microsoft. Sie registrierten einen Entra-ID-Mandanten, den sie kontrollierten, als vertrauenswürdige Verbunddomäne. Das war die Hintertür für Storm-0501, die einen dauerhaften Zugriff ermöglichte. Damit konnte Storm-0501, SAML-Token (Security Assertion Markup Language) erstellen, die für den Mandanten des Opfers gültig waren. Sie konnten sich fortan als Benutzer des Mandanten des Opfers auszugeben, und die Microsoft Entra-Rollen des imitierten Benutzers übernehmen.

Über das kompromittierte globale Microsoft Entra Administratorkonto erlangte Storm-0501 die Azure-Rolle "User Access Administrator", und damit Zugriff auf alle Azure-Abonnements des Unternehmens und die darin gespeicherten Daten. Die Angreifer löschte eine Reihe von Daten. Daten, die sich nicht löschen ließen, oder ungelöscht bleiben sollten, wurden dann über die Cloud-Funktionen mit eigenen Keys verschlüsselt. Anschließend erpressten die Angreifer dann das Opfer zur Zahlung eines Lösegelds. Dabei verwendeten sie ein kompromittiertes Teams-Konto für die Kontaktaufnahme und die Verhandlungen.

Microsoft gibt Ratschläge zum Schutz

Im Beitrag gibt Microsoft im Abschnitt "Mitigation and protection guidance" dann noch Hinweise auf mehrere Maßnahmen, um sich vor solchen Storm-0501-Angriffen zu schützen.