Microsoft cảnh báo Storm-2570 dùng kỹ thuật nhất quán qua nhiều chiến dịch ransomware
"Microsoft Threat Intelligence reports that Storm-2570, a ransomware affiliate tracked since April 2025, has used consistent post-compromise tradecraft across multiple ransomware ecosystems including Qilin, DragonForce, Anubis, and BERT. The activity centers on remote access, credential access, lateral movement, security tampering, and cloud/data exfiltration tooling, with the key defensive takeaway being to detect the actor’s behavior across the attack chain rather than focusing only on the final ransomware payload; no CVEs are mentioned and the article provides mitigation and detection guidance."
Rủi ro cao vì kẻ tấn công có thể ẩn sau nhiều payload khác nhau nhưng giữ nguyên chuỗi hành vi; cần phát hiện sớm remote access, lateral movement và exfiltration.
Có thể gây gián đoạn vận hành, mất dữ liệu và tăng chi phí ứng phó; các ngành y tế, tài chính và hạ tầng quan trọng chịu tác động đáng kể hơn.
Microsoft Threat Intelligence cho biết Storm-2570 là một ransomware affiliate được theo dõi từ tháng 4/2025, và đã sử dụng các TTP hậu xâm nhập khá nhất quán trên nhiều hệ sinh thái ransomware như Qilin, DragonForce, Anubis và BERT. Điểm đáng chú ý là nhóm này không chỉ thay đổi payload cuối cùng mà vẫn giữ nguyên nhiều bước trong chuỗi tấn công, gồm remote access, credential access, lateral movement, security tampering và data exfiltration.
Microsoft ghi nhận hoạt động của Storm-2570 tại nhiều khu vực, bao gồm Mỹ, Canada, Anh, Tây Ban Nha, Hà Lan và Puerto Rico, với ảnh hưởng tới các lĩnh vực như y tế, giáo dục, chính phủ, tài chính, năng lượng và bán lẻ. Trong giai đoạn trước khi triển khai ransomware, nhóm này đã dùng nhiều công cụ phổ biến như Atera, MeshAgent, ScreenConnect, Splashtop, NinjaRMM, cùng các công cụ dò quét và di chuyển ngang như Nmap, PsExec, Impacket và RDP.
Khuyến nghị phòng thủ là theo dõi hành vi xuyên suốt chuỗi tấn công thay vì chỉ tập trung vào payload cuối. Tổ chức nên tăng cường phát hiện RMM bất thường, giám sát đăng nhập đặc quyền, kiểm tra di chuyển ngang, và cảnh báo sớm các dấu hiệu rò rỉ dữ liệu trước khi ransomware được kích hoạt.