Microsoft Threat Intelligence beschreibt Storm-2570 als Ransomware-Affiliate, der seit April 2025 über mehrere Ransomware-Ökosysteme hinweg beobachtet wird. Der Microsoft Security Blog vom 24. September 2026 nennt Einsätze mit Qilin, DragonForce, Anubis und BERT und betont, dass der eigentliche Prüfpunkt nicht der jeweilige Verschlüsselungstrojaner ist. Entscheidend sind wiederkehrende Werkzeuge und Verhaltensmuster vor der Verschlüsselung: Remote-Management-Tools, Tunneling, Credential Dumping, laterale Bewegung, Defender-Manipulation und Cloud-Exfiltration. Für KMU ist das relevant, weil genau diese Zwischenphase oft die letzte Chance ist, einen Vorfall vor Datenabfluss oder Ransomware-Ausführung zu stoppen.
Was Microsoft am 24. September 2026 meldet
Microsoft ordnet Storm-2570 nicht einer einzelnen Ransomware-Marke zu, sondern einem wiederkehrenden Angreiferverhalten. In untersuchten Vorfällen nutzte die Gruppe ähnliche Tradecraft, Infrastrukturüberschneidungen und Remote-Access- sowie Exfiltrationswerkzeuge, obwohl unterschiedliche Ransomware-Payloads zum Einsatz kamen. Beobachtete Branchen reichen laut Microsoft unter anderem von Gesundheitswesen, Bildung, Finanzdiensten und Energie bis zu IT, Einzelhandel, Fertigung und Transport. Für kleinere Organisationen ist diese Einordnung hilfreich, weil sie nicht für jede Ransomware-Familie eigene Playbooks bauen müssen. Wichtiger ist, die gemeinsamen Vorzeichen in Identität, Endpunkt, Remote-Zugriff und Dateibewegung zu erkennen.
Der Erstzugang bleibt laut Microsoft nicht bestätigt. Danach zeigen die Vorfälle aber eine klare Kette: Remote-Zugriff, Discovery, Credential Access, Manipulation von Schutzfunktionen, laterale Bewegung, Datendiebstahl und erst danach Ransomware-Auswirkung.
Welche Werkzeuge auffallen
Microsoft nennt mehrere legitime oder frei verfügbare Werkzeuge, die Storm-2570 in kompromittierten Umgebungen einsetzt. Gerade deshalb reicht eine reine Malware-Suche nicht aus: Viele Signale sehen einzeln wie Administration aus, werden in der Abfolge aber riskant.
- RMM-Werkzeuge wie Atera, MeshAgent, ScreenConnect, Splashtop, Remotely_Agent und NinjaRMM.
- Discovery und laterale Bewegung mit NetScan, Nmap, PsExec, Impacket, NetExec und RDP-Skripten.
- Credential-Zugriff mit Mimikatz, LaZagne, pypykatz und
ntdsutilfür NTDS.dit-Material. - Exfiltration über s5cmd oder Rclone zu cloudbasierten Speicherzielen.
Dringlichkeit: laufende Aktivität statt Frist
Microsoft nennt keinen zukünftigen Stichtag. Die Dringlichkeit entsteht daraus, dass Storm-2570 in mehreren untersuchten Intrusionen wiederkehrende Muster vor der eigentlichen Ransomware-Ausführung zeigte. Wer nur auf den finalen Payload reagiert, sieht den Vorfall zu spät. Administratoren sollten deshalb die letzten 30 Tage in Microsoft Defender und, sofern angebunden, in Microsoft Sentinel auf diese Muster prüfen.
Microsoft Learn beschreibt Advanced Hunting in Defender XDR als Abfragewerkzeug für bis zu 30 Tage Rohdaten. Die im Blog enthaltenen Hunting-Queries zu PsExec und umbenannten MeshAgent-Binaries passen genau zu diesem kurzfristigen Rückblick. Dieser Zeitraum ist für KMU besonders praktisch: Er lässt sich häufig ohne eigenes SIEM beginnen, liefert aber genug Kontext, um die Reihenfolge eines Vorfalls nachzuvollziehen. Wenn Microsoft Sentinel bereits angebunden ist, kann die Untersuchung je nach Aufbewahrung erweitert werden.
Welche Defender-Signale zusammengehören
Microsoft listet Defender-Erkennungen für Ausführung, Persistenz, Defense Impairment, Credential Access, Exfiltration und Impact. Einzelne Meldungen wie „Remote access software“ oder „Suspicious PowerShell command line“ können im Alltag untergehen. Kritisch wird die Kombination: RMM-Installation, RDP- oder Tunnel-Aktivierung, Defender-Ausnahmen, Zugriff auf Domain-Controller, s5cmd oder Rclone und danach verdächtige Dateioperationen.
Für Microsoft Defender for Endpoint ist außerdem die Attack-Surface-Reduction-Regel gegen Prozessstarts aus PsExec- und WMI-Befehlen relevant. Microsoft Learn führt sie in der ASR-Referenz als eigene Regel auf. Das ist keine Garantie gegen Storm-2570, aber ein konkreter technischer Kontrollpunkt. Ebenso wichtig ist die operative Seite: Wer darf Defender-Ausnahmen ändern, wer bestätigt ein legitimes RMM-Werkzeug, und wer entscheidet, wann ein Gerät isoliert oder ein Konto gesperrt wird?
Konkrete nächste Schritte für Administratoren
- Hunting auf PsExec, MeshAgent, Atera, ScreenConnect, Rclone, s5cmd, Cloudflared und ngrok für die letzten 30 Tage planen.
- Defender-Änderungen prüfen: deaktivierte Echtzeitüberwachung, neue Ausschlüsse und Änderungen an Schutzdiensten.
- Domain-Controller auf
ntdsutil, IFM-Kopien und ungewöhnliche Archiv- oder Kopiervorgänge prüfen. - RMM-Ausnahmen dokumentieren und nicht genehmigte Remote-Tools entfernen oder blockieren.
- Threat-Analytics-Berichte und empfohlene Aktionen im Defender-Portal gegen betroffene Geräte abgleichen.
In einem Microsoft Security Assessment lässt sich daraus ein klarer Testfall ableiten: Werden Remote-Access-, Credential- und Exfiltrationssignale als Angriffskette sichtbar, bevor die Verschlüsselung beginnt?
Offizielle Microsoft-Quellen
- Microsoft Security Blog: Tracking Storm-2570 tradecraft
- Microsoft Learn: Advanced hunting overview in Microsoft Defender XDR
- Microsoft Learn: Threat analytics in Microsoft Defender
- Microsoft Learn: ASR rules reference
Wenn Sie prüfen möchten, ob Ihre Microsoft-365-Umgebung solche Vorzeichen einer Ransomware-Kette erkennt und sauber eskaliert, unterstützen wir bei einem fokussierten Review Ihrer Defender-Konfiguration – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
