Microsoft Threat Intelligence memantau secara ketat aktivitas kelompok kejahatan siber yang dikenal sebagai Storm-0501. Kelompok ini dikenal karena mengembangkan taktiknya, terutama peralihannya ke strategi ransomware berbasis cloud. Tidak seperti serangan ransomware tradisional yang menargetkan sistem lokal, Storm-0501 mengeksploitasi kemampuan cloud-native untuk mencuri dan menghancurkan data di lingkungan cloud dan meminta tebusan tanpa menggunakan malware tradisional.

Metode serangan Storm-0501 dicirikan oleh sifat oportunistiknya, menargetkan distrik sekolah AS dengan ransomware Sabbath pada tahun 2021 dan kemudian menargetkan sektor kesehatan pada November 2023. Kelompok ini diketahui berganti muatan ransomware, menggunakan ransomware Embargo dalam kampanye tahun 2024. Kemampuan adaptasinya terlihat jelas saat berpindah antara lingkungan lokal dan cloud, mengeksploitasi kelemahan keamanan dan perangkat yang tidak terkelola untuk meningkatkan hak istimewa dan mengeksekusi serangan.

Dalam postingan blog terperinci pada September 2024, Microsoft menguraikan bagaimana Storm-0501 menyusup ke lingkungan cloud hybrid. Kelompok ini membobol lingkungan Active Directory dan meningkatkan hak akses melalui Microsoft Entra ID untuk mendapatkan akses administrator global. Mereka menunjukkan kemampuan untuk memanipulasi sistem lokal dan cloud dengan menanamkan pintu belakang (backdoor) dalam konfigurasi penyewa Entra ID dan menyebarkan ransomware lokal.

Serangan Storm-0501 baru-baru ini terhadap lingkungan cloud mengungkap teknik canggih mereka dalam meningkatkan hak akses dan mengeksploitasi celah keamanan. Postingan blog Microsoft menekankan pentingnya memahami serangan ini untuk melindungi infrastruktur cloud dengan lebih baik. Untuk membantu organisasi memperkuat pertahanan mereka terhadap ancaman tersebut, Microsoft membagikan rekomendasi untuk memperkuat perlindungan identitas cloud, keamanan sumber daya, dan deteksi di seluruh solusi keamanan Microsoft.