Microsoft ha identificado a un grupo de afiliados de ransomware, denominado Storm-2570, que ha llevado a cabo ataques utilizando cuatro familias diferentes de ransomware. A pesar de cambiar el nombre del malware para ocultar su identidad, el grupo emplea consistentemente los mismos métodos para tomar el control de las redes, robar datos y preparar los sistemas para el cifrado. Este operador ha sido rastreado desde abril de 2025.

Microsoft ha vinculado a un afiliado de ransomware con ataques que terminaron con cuatro familias de ransomware diferentes. El grupo, rastreado como Storm-2570, utilizó repetidamente los mismos métodos para tomar el control de las redes, robar datos y preparar los sistemas para el cifrado.

El cambio de nombre del ransomware a menudo ocultaba a un operador familiar. Storm-2570 ha sido rastreado desde abril de 2025. Sus intrusiones han afectado a organizaciones en Estados Unidos, Canadá, el Reino Unido, España, los Países Bajos y Puerto Rico, en sectores que van desde la salud y la educación hasta la energía y la fabricación.

Microsoft no ha establecido cómo entra el grupo por primera vez en las redes de las víctimas. Los analistas de Microsoft identificaron un patrón constante después de que se obtuviera el acceso, incluso cuando los ataques terminaban con el ransomware Qilin, DragonForce, Anubis o BERT.

Este solapamiento es importante porque los investigadores pueden detectar al mismo atacante antes de que llegue el malware final, en lugar de esperar a una alerta de cifrado.

Microsoft dijo en un informe que Storm-2570 parece trabajar a través de varios servicios de ransomware en lugar de permanecer en una sola operación.

Esa flexibilidad ayuda a explicar por qué las intrusiones relacionadas pueden parecer diferentes al final. Informes previos sobre los modelos de afiliados de DragonForce y Anubis ofrecen contexto sobre cómo operan esas asociaciones criminales.

Microsoft encuentra un grupo de ransomware que utiliza el mismo plan de ataque

Una vez dentro, los atacantes instalan software de gestión remota que les permite emitir comandos y mantener el acceso. MeshAgent aparece repetidamente, a veces con MeshCentral, mientras que otros casos involucran a Atera, NinjaRMM, ScreenConnect, Splashtop o Remotely_Agent.

Los operadores pueden renombrar un programa MeshAgent para que se parezca a un archivo asociado con la organización víctima.

También utilizan herramientas de túnel para preservar una ruta de regreso a la red. En un caso, un Túnel de Cloudflare se ejecutó automáticamente con privilegios elevados, creando una conexión saliente cifrada.

En otros lugares, ngrok ayudó a exponer el acceso al escritorio remoto. Estas acciones pueden hacer que la actividad del atacante se confunda con la administración remota ordinaria.

Lo siguiente es una búsqueda de sistemas, cuentas y archivos útiles. Storm-2570 utiliza escáneres de red y luego herramientas como Mimikatz, LaZagne y pypykatz para obtener credenciales.

Los investigadores también vieron que el grupo utilizaba una utilidad integrada de Windows para copiar datos de Active Directory, lo que podría exponer contraseñas en todo el dominio de la víctima.

Luego, el grupo debilita los controles de seguridad y se extiende a máquinas adicionales. Microsoft observó la desactivación de la protección en tiempo real, exclusiones de antivirus y cambios en el registro, seguidos de la ejecución remota a través de PsExec, Impacket, NetExec o scripts de escritorio remoto.

El uso similar de MeshAgent en otra investigación reciente de ransomware muestra por qué un agente de gestión inesperado merece atención, aunque ese caso se refiera a una operación diferente.

Robo de datos y defensa temprana

Antes de desplegar el ransomware, Storm-2570 a menudo mueve archivos valiosos a un almacenamiento en la nube controlado por el atacante. Utiliza s5cmd para copiar documentos seleccionados, hojas de cálculo, bases de datos y archivos en buckets de S3, mientras que Rclone puede sincronizar archivos a lo largo del tiempo.

El resultado es una segunda fuente de presión sobre las víctimas: la información robada puede permanecer expuesta incluso si se restauran los sistemas cifrados.

Microsoft no proporcionó un recuento total de víctimas ni una estimación de las pérdidas financieras. Tampoco indicó cuántas intrusiones investigadas progresaron desde el robo de datos hasta el despliegue completo del ransomware.

La misma mezcla de escaneo, acceso remoto y cargas a la nube ha aparecido en investigaciones sobre el solapamiento de afiliados de ransomware. Eso no prueba que cada incidente similar involucre a Storm-2570.

Sí demuestra por qué quienes responden deben conectar los eventos de toda una intrusión en lugar de identificar al atacante únicamente por la nota del ransomware.

Microsoft recomienda limitar los privilegios de las cuentas, fortalecer las prácticas de credenciales y proteger la configuración de seguridad contra manipulaciones.

Las organizaciones deben exigir la autenticación multifactor para las herramientas de gestión remota aprobadas, investigar las instalaciones no aprobadas y restablecer las credenciales de las cuentas utilizadas para instalarlas.

Los equipos también deben vigilar las transferencias inusuales a la nube y los intentos de abrir el acceso al escritorio remoto. El objetivo práctico es la detección antes del cifrado.

Las herramientas remotas inesperadas, el volcado de credenciales, los cambios en la configuración del antivirus y las transferencias rápidas al almacenamiento en la nube forman una advertencia más clara cuando se ven en conjunto.

Los informes sobre los ataques de Qilin que utilizan el historial de RDP ofrecen otro ejemplo de cómo los rastros de acceso remoto pueden revelar el movimiento de un atacante antes de que se ejecute la carga final.

Estas señales pueden seguir siendo útiles a través de diversas familias de ransomware porque los hábitos de un operador a menudo sobreviven a un cambio de marca criminal.

Fuentes:
https://cybersecuritynews.com/microsoft-finds-ransomware-group/