Storm

Sin atribución geográfica o de afiliación fiable en fuentes abiertas. Es un grupo nuevo, de motivación financiera, con un patrón de exclusión explícita de países CIS (regla declarada en su propio sitio de filtración) — convención habitual en el ecosistema cibercriminal de habla rusa, pero esto es sugestivo, no concluyente. No hay evidencia de afiliación política o ideológica, a diferencia de Stormous.

Ransomware-as-a-Service (RaaS) con doble extorsión: los operadores centrales mantienen el encriptador, el sitio de filtración y la infraestructura de negociación; afiliados externos ejecutan las intrusiones. El propio grupo declara en su sitio de filtración que recluta activamente afiliados y que no ataca organizaciones dentro de la Comunidad de Estados Independientes (CIS). Se autodescribe retóricamente como 'premier, results-driven firm operating at the intersection of high finance and specialised strategic services', una autopresentación corporativa inusual para un grupo de ransomware.

CONCLUSIÓN DE IDENTIDAD: 'storm' (telemetría interna: primera reclamación 2026-08-03) y 'Stormous' (grupo documentado desde ~2021-2022) son actores DISTINTOS. Evidencia: (1) ransomware.live rastrea a Stormous como entidad separada con ~177 víctimas, primera aparición marzo 2022, última junio 2026, 4 dominios .onion, sectores dominantes tecnología/servicios empresariales/hostelería, perfil árabe-parlante pro-ruso con campaña conjunta STMX_GhostLocker junto a GhostSec (GhostLocker 2.0). (2) WatchGuard Ransomware Tracker lista 'Storm' como entidad propia y separada, con 'first seen: agosto 2026', victimología 100% en EE.UU. en su muestra inicial, sectores salud/legal/banca/manufactura — sin ninguna mención de Stormous. (3) SOCRadar y Security Arsenal cubren 'Storm' como grupo nuevo de agosto 2026 sin vincularlo nunca a Stormous. (4) El perfil de comportamiento es opuesto: Stormous es políticamente motivado, con reclamaciones frecuentemente exageradas o disputadas (Coca-Cola, Epic Games); 'storm' es puramente transaccional, sin retórica política, con un listado de víctimas que nuestra telemetría marca como 100% confirmadas. Confianza en esta distinción: moderada-alta (no hay prueba documental directa de que sean 'definitivamente' distintos —ningún vendor lo declara explícitamente en esos términos— pero la convergencia de perfiles independientes y contradictorios en fecha de origen, geografía, sector e ideología hace muy improbable que sea el mismo actor). Recomendación operativa: separar 'storm' de 'Stormous' en la base de perfiles y revisar el algoritmo de consenso que está empatando nombres por similitud léxica en vez de por huella de infraestructura/comportamiento.

Según evaluaciones de vendors (Security Arsenal, WatchGuard), no confirmadas de forma independiente: acceso inicial vía explotación de dispositivos perimetrales/VPN (Check Point, Fortinet, clase Ivanti), RDP expuesto con credenciales de fuerza bruta o compradas, phishing con documentos con macros, y abuso de herramientas RMM (ScreenConnect, AnyDesk). Exfiltración con rclone antes de cifrar; borrado de copias de seguridad con vssadmin; despliegue del encriptador vía PsExec o GPO. Doble extorsión con publicación escalonada de documentos (al menos una docena de archivos de 'prueba' por víctima: nóminas, contactos de clientes, evaluaciones de riesgo, facturas). Tiempo de permanencia estimado 3-14 días. Algunas fuentes vinculan especulativamente la ventana de actividad a CVEs concretos (CVE-2026-50751 en Check Point, CVE-2024-1708 en ScreenConnect, CVE-2023-21529 en Exchange, CVE-2025-60710 de escalada de privilegios) pero esto es una hipótesis de un vendor, no una atribución confirmada.