Una nueva campaña de ransomware está poniendo en alerta máxima a las organizaciones. Un grupo de amenazas con motivación financiera conocido como Storm-1175 ha estado llevando a cabo ataques rápidos contra sistemas vulnerables expuestos en internet, desplegando el ransomware Medusa como golpe final. 

Una nueva campaña de ransomware está poniendo en alerta máxima a las organizaciones. Un grupo de amenazas con motivación financiera conocido como Storm-1175 ha estado llevando a cabo ataques rápidos contra sistemas vulnerables expuestos a internet — y desplegando el ransomware Medusa como golpe final.

Lo que hace a este grupo especialmente peligroso es la velocidad con la que actúa: desde el momento en que logra infiltrarse, los atacantes pueden bloquear toda una organización en tan solo 24 horas.

Storm-1175 ha construido sus operaciones en torno a una estrategia: atacar durante la breve ventana entre el momento en que se divulga públicamente una vulnerabilidad de software y cuando los equipos de TI la parchean.

Los profesionales de la seguridad llaman a estas vulnerabilidades "N-day": fallos que han sido anunciados pero que siguen sin parchearse en muchos sistemas.

El grupo escanea aplicaciones expuestas a internet, incluyendo herramientas de transferencia de archivos y servidores de correo, que aún ejecutan versiones vulnerables. Incluso unos pocos días de exposición son suficientes para que los atacantes logren acceder.

Analistas de Microsoft Threat Intelligence identificaron a Storm-1175 como responsable de estas campañas, rastreando al grupo desde 2023. Los investigadores observaron que el grupo explotó más de 16 vulnerabilidades conocidas en plataformas empresariales.

Además de la explotación de vulnerabilidades N-day, los analistas confirmaron que Storm-1175 también desarrolló la capacidad de usar fallos zero-day — aquellos que aún no son de conocimiento público.

En un caso, el grupo explotó CVE-2026-23760, una vulnerabilidad en SmarterMail, una semana completa antes de su divulgación pública. De manera similar, CVE-2025-10035 en Fortra’s GoAnywhere Managed File Transfer fue explotada una semana antes de su anuncio oficial.

El ransomware Medusa opera como una plataforma de Ransomware-as-a-Service (RaaS): sus desarrolladores alquilan herramientas e infraestructura a afiliados como Storm-1175.

Medusa utiliza un modelo de doble extorsión: los atacantes cifran los datos de la víctima mientras los roban, y luego amenazan con hacerlos públicos si no se paga el rescate.

Esto ejerce una enorme presión sobre las organizaciones, combinando la interrupción operativa con el riesgo a largo plazo de exposición de datos. Los sectores que dependen de plataformas expuestas a internet enfrentan el mayor riesgo en las campañas de Storm-1175.

Dentro del manual post-compromiso de Storm-1175

Una vez que Storm-1175 logra acceder al entorno de un objetivo, el ataque sigue una secuencia ensayada. El grupo primero instala una web shell o despliega una carga útil de acceso remoto — un pequeño fragmento de código que permite reconectarse al sistema comprometido en cualquier momento, incluso después de que se parchee la vulnerabilidad original.

También se crean nuevas cuentas de usuario al inicio para mantener una ruta de acceso alternativa a la red.

A partir de ahí, Storm-1175 despliega herramientas legítimas de monitoreo y gestión remota (RMM), mezclando su actividad con el tráfico normal que generan los equipos de TI.

Estas herramientas permiten a los atacantes moverse entre sistemas internos sin activar alertas de seguridad. Para deshabilitar las defensas, el grupo manipula la configuración de Microsoft Defender Antivirus almacenada en el registro de Windows — un paso que requiere acceso a cuentas con altos privilegios.

Los atacantes también usan comandos de PowerShell codificados para agregar unidades completas a las listas de exclusión de antivirus, evitando que el software de seguridad escanee archivos maliciosos. Mientras tanto, el robo de credenciales se dirige a cuentas con altos privilegios necesarias para propagar el ransomware por toda la red.

Cuando están listos para finalizar la operación, Storm-1175 usa Bandizip para empaquetar los archivos recopilados y Rclone para transferirlos a almacenamiento en la nube controlado por los atacantes.

Luego, se emplea PDQ Deployer para ejecutar un script llamado RunFileCopy.cmd, que distribuye las cargas útiles del ransomware Medusa a todas las máquinas accesibles.

En algunos casos, el grupo utiliza privilegios elevados para activar una actualización de Group Policy, desplegando el ransomware simultáneamente en todos los sistemas del dominio.

Microsoft y los investigadores de seguridad recomiendan a las organizaciones parchear los sistemas expuestos a internet sin demora — especialmente en un plazo de 72 horas para cualquier vulnerabilidad incluida en el catálogo de CISA Known Exploited Vulnerabilities.

Los equipos de seguridad deben monitorear alertas relacionadas con el robo de credenciales, cambios no autorizados en el registro y la creación de nuevas cuentas de usuario, ya que estos son indicadores tempranos confiables de un atacante activo.

Restringir el uso de herramientas RMM a aplicaciones aprobadas e implementar autenticación multifactor (MFA) en todas las cuentas privilegiadas son pasos críticos. Los equipos también deben auditar periódicamente las rutas de exclusión de antivirus para detectar modificaciones no autorizadas antes de que los atacantes puedan explotarlas.