Storm-0249: evolución táctica de inicial access broker a ransomware enabler

Se ha identificado una evolución táctica relevante en el actor de amenazas Storm-0249, clasificado por Microsoft como un software malicioso para el acceso inicial (IAB) activo desde 2021. Este grupo ha pasado de campañas masivas de phishing a técnicas avanzadas de evasión que incluyen DLL sideloading contra agentes de EDR, ejecución fileless de PowerShell, suplantación de dominios Microsoft y abuso de LOLBins, permitiéndole operar con un alto nivel de sigilo y mantener accesos persistentes en entornos corporativos.

Storm-0249 opera dentro del ecosistema Ransomware-as-a-Service (RaaS), vendiendo accesos comprometidos a afiliados como LockBit, ALPHV (BlackCat) y Storm-0501, lo que acelera la transición entre compromiso inicial y despliegue de ransomware. La investigación reciente publicada por ReliaQuest y SentinelOne (9 de diciembre de 2025) confirma campañas activas dirigidas a sectores de gobierno, manufactura, transporte y seguridad pública, evidenciando un riesgo creciente para organizaciones globales.

Descubre todos los detalles de cómo protegerte, revisando el boletín completo