Storm-0978
Un grupo ruso que mezcla espionaje sobre Ucrania con ransomware, y que ataca con vulnerabilidades de día cero de Office, Firefox y WinRAR.
Quién es
Storm-0978 es un grupo con base en Rusia, según Microsoft, y alineado con Rusia, según ESET. Otros equipos lo siguen como RomCom, por el nombre de su puerta trasera, Void Rabisu, Tropical Scorpius y UNC2596. Combina ransomware y extorsión por dinero con campañas de robo de credenciales que probablemente apoyan operaciones de inteligencia.
Cómo entra
Con phishing sobre la política de Ucrania y copias alteradas de software legítimo popular, promovidas en sitios y anuncios falsos. Y con vulnerabilidades de día cero: CVE-2023-36884 en Office y Windows en 2023, CVE-2024-9680 de Firefox junto con CVE-2024-49039 de Windows en 2024 y CVE-2025-8088 de WinRAR en 2025.
Qué hace una vez dentro
Instala la puerta trasera RomCom para espiar. Por dinero despliega el ransomware Underground, emparentado con Industrial Spy, y también hace extorsión sin cifrar.
A quién ataca
Gobiernos y fuerzas armadas, sobre todo de Ucrania, y organizaciones de Europa y Norteamérica involucradas en asuntos ucranianos. En julio de 2023 atacó a invitados de la cumbre de la OTAN en Vilna con señuelos que imitaban al Congreso Mundial Ucraniano. En 2025, empresas financieras, de manufactura, defensa y logística de Europa y Canadá.
Vulnerabilidades que explota
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2024-9680 | Mozilla Firefox | 9.8 | Sí |
| CVE-2024-49039 | Microsoft Windows Task Scheduler | 8.8 | Sí |
| CVE-2025-8088 | WinRAR | 8.8 | Sí |
| CVE-2023-36884 | Microsoft Office y Windows | 7.5 | Sí |
Documentadas en los avisos y reportes de la sección Fuentes.
Villanos relacionados
Fuentes
