Campañas de Ransomware Medusa de Storm-1175 (2023-2026)
Campañas de Ransomware Medusa de Storm-1175 (2023-2026) es el nombre que recibe una serie de operaciones de ransomware de alta velocidad atribuidas al ciberdelincuente con fines de lucro identificado por Microsoft Threat Intelligence como Storm-1175. La campaña es significativa por la extrema rapidez de la cadena de ataque (desde la explotación inicial hasta el despliegue de ransomware en cuestión de días, a veces en menos de 24 horas), la explotación proactiva de vulnerabilidades recién divulgadas (N-day) y, en algunos casos, de día cero (0-day) hasta una semana antes de su divulgación pública, y el uso generalizado de herramientas de monitorización y administración remota (RMM) legítimas y binarios del sistema (LOLBins) para el movimiento lateral y la evasión de defensas. El actor ha afectado gravemente a organizaciones de los sectores sanitario, educativo, de servicios profesionales y financiero en Australia, Reino Unido y Estados Unidos.
Nombres Alternativos / Aliases
- Storm-1175 (Designación de Microsoft Threat Intelligence)
- Operación de Ransomware Medusa de Alta Velocidad (Por el ritmo del ataque)
- Campaña de Explotación de Vulnerabilidades N-day (Por el vector principal)
- Afiliado de Ransomware Medusa (Por el modelo RaaS)
Fecha de Detección / Actividad
- Inicio de la Actividad: Al menos desde 2023 (primeras vulnerabilidades explotadas documentadas).
- Ventana de Explotación Típica: Entre la divulgación de una vulnerabilidad y la adopción generalizada de parches (días o semanas).
- Caso de Explotación Más Rápido: CVE-2025-31324 (SAP NetWeaver) divulgada el 24 de abril de 2025, explotada por Storm-1175 el 25 de abril de 2025 (24 horas después).
- Uso de 0-Day: Semana anterior a la divulgación pública de CVE-2026-23760 (SmarterMail, marzo 2026) y CVE-2025-10035 (GoAnywhere MFT).
- Divulgación Pública: 7 de abril de 2026 (Microsoft Threat Intelligence publica análisis detallado).
- Estado: Activa. Las campañas continúan en curso. Se requiere acción inmediata de parcheo y monitoreo.
Actor de Amenaza (Atribución)
- Nombre del Grupo: Storm-1175 (designación de Microsoft Threat Intelligence).
- Tipo de Actor: Ciberdelincuente con fines de lucro, operador de ransomware como servicio (RaaS). Actúa como afiliado de Medusa.
- Motivación: Financiera. Operaciones de doble extorsión: robo y cifrado de datos, exigiendo rescate por su desbloqueo y amenazando con publicarlos.
- Sofisticación: Alta. Demuestra capacidad para explotar vulnerabilidades recién divulgadas (N-day) y, en algunos casos, día cero (0-day). Utiliza una amplia gama de herramientas y técnicas de evasión, y mantiene un ritmo operativo extremadamente acelerado.
Resumen Ejecutivo
Storm-1175 es un actor de ransomware que se especializa en ataques de alta velocidad dirigidos a activos vulnerables expuestos a internet. Su metodología central es la explotación proactiva de vulnerabilidades recién divulgadas, aprovechando la ventana crítica entre la publicación del parche y su adopción por parte de las organizaciones. Desde 2023, Microsoft Threat Intelligence ha documentado la explotación de más de 16 vulnerabilidades por parte de Storm-1175, afectando a productos como Microsoft Exchange, Papercut, Ivanti, ConnectWise ScreenConnect, JetBrains TeamCity, SimpleHelp, CrushFTP, GoAnywhere MFT, SmarterMail, BeyondTrust y SAP NetWeaver.
La cadena de ataque de Storm-1175 es extremadamente rápida. En algunos casos, el actor ha pasado del acceso inicial al despliegue del ransomware Medusa en menos de 24 horas. Su ritmo se ve facilitado por el uso constante de exploits para vulnerabilidades recién divulgadas, a veces encadenando múltiples exploits para lograr ejecución remota de código (RCE). En los casos más alarmantes, Storm-1175 ha demostrado capacidad para explotar vulnerabilidades de día cero una semana antes de su divulgación pública, como ocurrió con CVE-2026-23760 en SmarterMail y CVE-2025-10035 en GoAnywhere MFT.
Una vez dentro, Storm-1175 establece persistencia creando nuevas cuentas de usuario y añadiéndolas al grupo de administradores. Para el movimiento lateral, el actor utiliza una combinación de binarios legítimos del sistema (LOLBins como PowerShell y PsExec), túneles de Cloudflare renombrados, y modificaciones del firewall de Windows para habilitar RDP. Sin embargo, su táctica más distintiva es el uso extensivo de herramientas de monitorización y administración remota (RMM) legítimas, incluyendo Atera RMM, Level RMM, N-able, DWAgent, Mesh Agent, ConnectWise ScreenConnect, AnyDesk y SimpleHelp. Estas herramientas, comúnmente utilizadas por equipos de TI, le permiten mantener persistencia, moverse lateralmente y desplegar cargas útiles de manera encubierta.
Storm-1175 también emplea PDQ Deployer para el despliegue silencioso de ransomware en toda la red, y herramientas como Impacket y Mimikatz para el robo de credenciales, incluyendo el volcado de LSASS y la extracción de NTDS.dit de controladores de dominio. Finalmente, utiliza Bandizip para empaquetar datos y Rclone para exfiltrarlos a la nube antes de desplegar el ransomware Medusa, completando así una operación de doble extorsión.
Vectores de Ataque
- Explotación de Vulnerabilidades en Aplicaciones Web Expuestas (T1190): El principal vector de acceso inicial. Storm-1175 escanea activamente en busca de sistemas vulnerables expuestos a internet y explota vulnerabilidades N-day y 0-day en una amplia gama de productos.
- Encadenamiento de Exploits (T1190): En múltiples intrusiones, el actor ha encadenado dos o más vulnerabilidades para lograr ejecución remota de código (RCE), como en el caso de "OWASSRF" contra Microsoft Exchange (CVE-2022-41080 para acceso inicial, CVE-2022-41082 para RCE).
- Uso de Credenciales Robadas (T1078): Tras el acceso inicial, crea nuevas cuentas de usuario y las eleva a administradores para mantener persistencia y movimiento lateral.
- Abuso de Herramientas RMM Legítimas (T1219): Utiliza software de administración remota legítimo para persistencia, movimiento lateral y entrega de payloads, evadiendo detecciones basadas en firmas de malware.
Técnicas, Tácticas y Procedimientos (TTPs)
| Táctica (MITRE ATT&CK) | Técnica | Descripción / Implementación |
|---|---|---|
| Acceso Inicial (TA0001) | Exploit Public-Facing Application (T1190) | Explotación de vulnerabilidades en productos expuestos a internet (Exchange, Papercut, Ivanti, TeamCity, SmarterMail, GoAnywhere, etc.). |
| Persistencia (TA0003) | Create Account (T1136) | Creación de nuevas cuentas de usuario locales y adición al grupo de administradores mediante comandos net user y net localgroup.
|
| Persistencia (TA0003) | External Remote Services (T1133) | Uso de herramientas RMM (Atera, Level, N-able, ScreenConnect, AnyDesk) como canales de persistencia y C2 alternativos. |
| Escalada de Privilegios (TA0004) | Valid Accounts (T1078) | Uso de cuentas de administrador recién creadas o robadas para escalar privilegios. |
| Evasión de Defensas (TA0005) | Masquerading: Rename System Utilities (T1036.003) | Renombramiento de túneles de Cloudflare para imitar binarios legítimos como conhost.exe.
|
| Evasión de Defensas (TA0005) | Impair Defenses: Disable or Modify Tools (T1562.001) | Modificación del registro de Microsoft Defender para deshabilitar protección; adición de exclusiones de escaneo (ej. unidad C: completa). |
| Evasión de Defensas (TA0005) | Modify Registry (T1112) | Modificación de UseLogonCredential para habilitar almacenamiento en caché de credenciales WDigest.
|
| Credential Access (TA0006) | OS Credential Dumping (T1003) | Volcado de LSASS mediante Mimikatz o Impacket; extracción de NTDS.dit y SAM desde controladores de dominio. |
| Credential Access (TA0006) | Credentials from Password Stores (T1555) | Recuperación de contraseñas del software de copia de seguridad Veeam. |
| Discovery (TA0007) | Account Discovery (T1087) | Enumeración de cuentas y grupos en el dominio. |
| Discovery (TA0007) | System Information Discovery (T1082) | Reconocimiento del entorno mediante herramientas como PowerShell y PsExec. |
| Lateral Movement (TA0008) | Remote Services: SMB/Windows Admin Shares (T1021.002) | Uso de PsExec y PDQ Deployer para movimiento lateral y despliegue de ransomware. |
| Lateral Movement (TA0008) | Remote Desktop Protocol (T1021.001) | Habilitación de RDP mediante modificación del firewall de Windows para movimiento lateral. |
| Lateral Movement (TA0008) | Lateral Tool Transfer (T1570) | Uso de herramientas RMM y PDQ Deployer para transferir herramientas y payloads entre sistemas. |
| Command and Control (TA0011) | Remote Access Software (T1219) | Uso extensivo de herramientas RMM legítimas para C2 y persistencia. |
| Collection (TA0009) | Archive Collected Data (T1560) | Uso de Bandizip para empaquetar datos robados antes de la exfiltración. |
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Uso de Rclone para sincronizar y exfiltrar datos a servicios en la nube controlados por el atacante. |
| Impact (TA0040) | Data Encrypted for Impact (T1486) | Despliegue del ransomware Medusa en toda la red mediante PDQ Deployer o actualizaciones de directiva de grupo. |
| Impact (TA0040) | Data Manipulation (T1565) | Exfiltración de datos previa al cifrado para operaciones de doble extorsión. |
Flujo de Ataque (Kill Chain)
- Reconocimiento: Storm-1175 escanea en busca de activos vulnerables expuestos a internet (servidores web, aplicaciones, VPNs, etc.).
- Explotación (Acceso Inicial): Utiliza exploits para vulnerabilidades N-day o 0-day en productos como SmarterMail, GoAnywhere, Exchange, etc. En algunos casos, encadena múltiples exploits para lograr RCE.
- Establecimiento de Persistencia: Crea nuevas cuentas de usuario locales y las añade al grupo de administradores. Instala herramientas RMM legítimas (Atera, ScreenConnect, AnyDesk) para C2 alternativo y persistencia.
- Reconocimiento Interno: Utiliza PowerShell, PsExec e Impacket para enumerar cuentas, grupos, sistemas y configuraciones de seguridad.
- Movimiento Lateral: Modifica el firewall de Windows para habilitar RDP. Utiliza PsExec, PDQ Deployer y herramientas RMM para moverse a otros sistemas, incluyendo controladores de dominio.
- Robo de Credenciales: Volca LSASS con Mimikatz o Impacket. Extrae NTDS.dit de controladores de dominio. Recupera contraseñas de Veeam.
- Manipulación de Defensas: Deshabilita Microsoft Defender mediante modificaciones del registro. Añade exclusiones de escaneo (ej. unidad C: completa).
- Exfiltración de Datos: Utiliza Bandizip para empaquetar datos robados y Rclone para exfiltrarlos a servicios en la nube.
- Despliegue de Ransomware: Utiliza PDQ Deployer o actualizaciones de directiva de grupo para desplegar el ransomware Medusa en todos los sistemas del entorno, a menudo en cuestión de horas desde la exfiltración.
Infraestructura Utilizada
| Tipo | Ejemplos / Características | Propósito |
|---|---|---|
| Aplicaciones Vulnerables (Objetivo) | Microsoft Exchange, Papercut, Ivanti, ConnectWise ScreenConnect, JetBrains TeamCity, SimpleHelp, CrushFTP, GoAnywhere MFT, SmarterMail, BeyondTrust, SAP NetWeaver. | Vectores de acceso inicial. |
| Herramientas RMM (Legítimas) | Atera RMM, Level RMM, N-able, DWAgent, Mesh Agent, ConnectWise ScreenConnect, AnyDesk, SimpleHelp. | Persistencia, C2, movimiento lateral, entrega de payloads. |
| Herramientas de Movimiento Lateral | PsExec, PDQ Deployer, Impacket, túneles de Cloudflare (renombrados). | Movimiento lateral y despliegue de ransomware. |
| Herramientas de Robo de Credenciales | Mimikatz, Impacket. | Volcado de LSASS, NTDS.dit, SAM. |
| Herramientas de Exfiltración | Bandizip (empaquetado), Rclone (sincronización a la nube). | Robo de datos antes del cifrado. |
| C2 / Infraestructura | IPs asociadas a SimpleHelp C2 (ej. 185.135.86[.]149, 134.195.91[.]224, 85.155.186[.]121). | Comando y control. |
Objetivos y Sectores Atacados
- Objetivo Principal: Organizaciones con activos expuestos a internet y aplicaciones web vulnerables.
- Sectores Afectados: Salud, educación, servicios profesionales, financiero, y otros sectores con sistemas perimetrales críticos. Geográficamente, se han observado ataques en Australia, Reino Unido y Estados Unidos.
- Sistemas Afectados: Servidores web, aplicaciones empresariales (Exchange, TeamCity, GoAnywhere), VPNs, y posteriormente toda la red interna.
Impacto y Riesgo
- Nivel de Riesgo: Crítico para organizaciones con sistemas expuestos sin parchear.
- Impacto Financiero: Pérdidas por rescates (no divulgadas), costos de recuperación, inactividad operativa, y potenciales multas regulatorias por brechas de datos.
- Impacto en la Confidencialidad: Alto. Exfiltración de datos sensibles antes del cifrado, con amenaza de publicación pública.
- Impacto en la Integridad: Cifrado de archivos en toda la red, haciéndolos inaccesibles.
- Impacto en la Disponibilidad: Interrupción completa de operaciones durante la recuperación de los sistemas cifrados.
Recomendaciones de Mitigación
Recomendaciones Técnicas (Prioritarias)
- Parcheo Inmediato de Sistemas Expuestos: Identificar y parchear todas las aplicaciones expuestas a internet que hayan tenido vulnerabilidades divulgadas recientemente, especialmente las listadas en este informe (Exchange, Ivanti, TeamCity, SmarterMail, GoAnywhere, etc.).
- Aislar Sistemas Críticos: Los sistemas con acceso a internet deben estar aislados mediante una red perimetral segura (DMZ), detrás de un firewall de aplicaciones web (WAF) o proxy inverso. Acceder a sistemas internos solo a través de VPN.
- Implementar Credential Guard: Activar Credential Guard en Windows para proteger credenciales en memoria (LSASS). Está activado por defecto en Windows 11, pero debe verificarse.
- Activar Protección contra Manipulaciones (Tamper Protection): Habilitar la protección contra manipulaciones para evitar que los atacantes deshabiliten Microsoft Defender o añadan exclusiones.
- Configurar DisableLocalAdminMerge: Impedir que los administradores locales modifiquen exclusiones del antivirus, dificultando la evasión de defensas.
- Aprobar y Monitorizar Herramientas RMM: Mantener un inventario de herramientas RMM aprobadas. Generar alertas ante la instalación o ejecución de herramientas RMM no autorizadas (AnyDesk, ScreenConnect, Atera, etc.).
- Fijar Configuración de RDP: Restringir el uso de RDP y monitorizar modificaciones en las políticas del firewall de Windows que habiliten RDP.
- Implementar Reglas de Reducción de Superficie de Ataque (ASR): Activar reglas específicas para:
- Bloquear robo de credenciales de LSASS.
- Bloquear creación de procesos originados por PsExec y WMI.
- Bloquear ejecución de scripts ofuscados.
- Bloquear creación de webshells.
- Configurar Interrupción Automática de Ataques (Air Gap): Utilizar funcionalidades como la interrupción automática de ataques en Microsoft Defender XDR para contener intrusiones en curso.
Herramientas de Detección
| Herramienta / Capacidad | Uso |
|---|---|
| Microsoft Defender for Endpoint | Detección de exploits, creación de cuentas sospechosas, uso de herramientas RMM no autorizadas, volcado de LSASS, exfiltración de datos, y despliegue de ransomware. |
| Microsoft Defender External Attack Surface Management | Identificación de activos vulnerables expuestos a internet antes de que sean explotados. |
| SIEM con Correlación | Correlación de eventos: creación de cuentas + modificación de firewall + conexiones a IPs de C2 conocidas. |
| Análisis de Tráfico de Red (NDR) | Detección de túneles de Cloudflare, conexiones a herramientas RMM no autorizadas, y tráfico de exfiltración a la nube. |
| Reglas ASR de Microsoft Defender | Prevención de técnicas específicas como robo de LSASS y movimiento lateral con PsExec. |
Indicadores de Compromiso (IOCs)
Hashes (SHA-256)
| Indicador | Descripción | Primera Vez Visto |
|---|---|---|
0cefeb6210b7103fd32b996beff518c9b6e1691a97bb1cda7f5fb57905c4be96
|
Gaze.exe (Ransomware Medusa) | 1 de marzo de 2026 |
9632d7e4a87ec12fdd05ed3532f7564526016b78972b2cd49a610354d672523c
|
lsp.exe (Rclone) | 1 de abril de 2024 |
e57ba1a4e323094ca9d747bfb3304bd12f3ea3be5e2ee785a3e656c3ab1e8086
|
main.exe (SimpleHelp) | 15 de enero de 2026 |
5ba7de7d5115789b952d9b1c6cff440c9128f438de933ff9044a68fff8496d19
|
luna.exe (SimpleHelp) | 15 de septiembre de 2025 |
IPs de C2 (SimpleHelp)
| Indicador | Primera Vez Visto | Última Vez Visto |
|---|---|---|
185.135.86[.]149
|
23 de febrero de 2024 | 15 de marzo de 2026 |
134.195.91[.]224
|
23 de febrero de 2024 | 26 de febrero de 2026 |
85.155.186[.]121
|
23 de febrero de 2024 | 12 de febrero de 2026 |
Vulnerabilidades Explotadas (Selección)
| CVE | Producto | Año |
|---|---|---|
| CVE-2023-21529 | Microsoft Exchange | 2023 |
| CVE-2023-27351, CVE-2023-27350 | Papercut | 2023 |
| CVE-2023-46805, CVE-2024-21887 | Ivanti Connect Secure | 2023-2024 |
| CVE-2024-1709, CVE-2024-1708 | ConnectWise ScreenConnect | 2024 |
| CVE-2024-27198, CVE-2024-27199 | JetBrains TeamCity | 2024 |
| CVE-2024-57726, CVE-2024-57727, CVE-2024-57728 | SimpleHelp | 2024 |
| CVE-2025-31161 | CrushFTP | 2025 |
| CVE-2025-10035 | GoAnywhere MFT | 2025 |
| CVE-2025-52691, CVE-2026-23760 | SmarterMail | 2025-2026 |
| CVE-2026-1731 | BeyondTrust | 2026 |
| CVE-2025-31324 | SAP NetWeaver | 2025 |
Referencias y Fuentes
- Microsoft Threat Intelligence. (2026, Abril 7). *Storm-1175 centra su atención en los activos vulnerables expuestos a la web en las operaciones de ransomware Medusa de alta velocidad.* (Microsoft Defender Blog).
- MITRE ATT&CK Framework: Mapeo de TTPs (T1190, T1136, T1219, T1003, T1021, T1486, T1562, etc.).
- CVE Database: Entradas para las vulnerabilidades listadas.
- CrowdStrike. (2023). OWASSRF: New exploit method to bypass ProxyNotShell mitigations in Exchange.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-04-07 | 1.0 | Análisis Colectivo | Creación inicial de la entrada basada en el análisis de Microsoft Threat Intelligence sobre las campañas de ransomware Medusa de Storm-1175. |
Etiquetas / Categorías
storm-1175 ransomware medusa microsoft-threat-intelligence alta-velocidad n-day 0-day vulnerabilidades exchange teamcity smtermail goanywhere simplehelp rmm atera screenconnect anydesk psexec pdq-deployer impacket mimikatz rclone bandizip credential-guard asr-rules t1190 t1219 t1003 t1486 salud educacion finanzas australia uk eeuu defender ransomware-as-a-service raas doble-extorsion