Storm-2603 tehdit aktörleri, Velociraptor DFIR aracının eski sürümünü kullanarak LockBit ve diğer fidye yazılımlarını dağıtıyor. SharePoint zafiyetleri ve CVE-2025-6264 açığını istismar eden grup, gelişmiş yatay hareketlilik ve savunma atlatma teknikleriyle dikkat çekiyor. Araştırmalar, grubun Çin devlet destekli aktörlerle bağlantılı olabileceğini ve profesyonel, organize bir yapıya sahip olduğunu gösteriyor.
Velociraptor adli bilişim aracının kötüye kullanımıyla Visual Studio Code üzerinden komut ve kontrol tünellemesi gerçekleştirildiği tespit edildi. Saldırganlar, Cloudflare Workers üzerinden MSI yükleyicileri indirip msiexec aracıyla çalıştırarak uzaktan erişim sağlıyor. Bu yöntem, fidye yazılımı öncesi uyarı olarak değerlendirilirken, Microsoft Teams gibi kurumsal platformların da kötü amaçlı yazılım dağıtımı için kullanıldığı raporlandı.