Microsoft warnt vor Ransomware-Kampagne über N-central-Schwachstelle

Nach Darstellung von Microsoft reiht sich die aktuelle Aktivität in das bekannte Vorgehen von Storm-1175 ein. Die Gruppe hatte zuvor die Ransomware Medusa eingesetzt, um Organisationen aus dem Gesundheitswesen, dem Bereich professionelle Dienstleistungen und dem Finanzsektor in Australien, Großbritannien und den USA zu erpressen. Bereits im April beschrieb Microsoft die Akteure als Betreiber von „Ransomware-Kampagnen mit hoher Schlagzahl“, die sowohl frisch veröffentlichte Schwachstellen als auch Zero-Day-Exploits ausnutzten, „in manchen Fällen eine volle Woche vor der öffentlichen Offenlegung der Schwachstelle“. Laut Microsoft gelang der Gruppe der Weg vom Erstzugang bis zur vollständigen Verschlüsselung in weniger als 24 Stunden.

Im Mittelpunkt der neuen Kampagne steht CVE-2026-18577 in N-central. Microsoft hat den Zugriffsweg zwar nicht formell bestätigt, weist aber darauf hin, dass die Einsätze von StormEncryptor am selben Tag begannen, an dem die Lücke öffentlich gemacht wurde. Huntress bezeichnete die Schwachstelle als Zugang mit nicht authentifiziertem „Gottmodus“. Praktisch bedeutet das laut dem Sicherheitsunternehmen, dass Angreifer ohne jegliche Zugangsdaten die vollständige administrative Kontrolle über einen N-central-Server übernehmen können.

Gerade das macht den Vorfall zu einem Lieferkettenrisiko. Managed Service Provider verwalten über N-central die Systeme ihrer Kunden aus der Ferne. Wird ein einzelner N-central-Server übernommen, kann daraus ein Zugang zu allen von ihm kontrollierten Endpunkten werden. Eine Kompromittierung bei einem Dienstleister kann sich damit über die gesamte Kundenbasis fortpflanzen.

Derartige Ketteneffekte sind in diesem Umfeld nicht neu. 2021 führte ein ähnlicher Lieferkettenangriff auf ein RMM-Werkzeug von Kaseya dazu, dass die REvil-Gruppe zunächst 60 direkte Kaseya-Kunden kompromittierte und anschließend rund 1.500 nachgelagerte Unternehmen traf. Auch ein weiterer Lieferkettenangriff im Jahr 2024 auf ein RMM-Produkt, diesmal ConnectWise ScreenConnect, zog zahlreiche nachgelagerte Ransomware-Angriffe nach sich. Microsoft zufolge gehörte Storm-1175 damals zu mehreren Bedrohungsakteuren, die ScreenConnect ins Visier nahmen.

Wie viele Organisationen im aktuellen Fall betroffen sind, bleibt offen. N-able teilte mit, man habe eine „begrenzte Zahl“ betroffener Kunden kontaktiert. Huntress bestätigte ebenfalls Auswirkungen bei eigenen Kunden und veröffentlichte eine Zeitleiste zu zwei Vorfällen, in denen sich Angreifer rasch über nachgelagerte Hosts bewegten. Eine Zahl der Organisationen, die tatsächlich mit Ransomware angegriffen wurden, nannte das Unternehmen jedoch nicht.

N-able zufolge wurde die der Kampagne zugrunde liegende Schwachstelle erstmals am 31. Juli bei einem Zero-Day-Angriff entdeckt. Unklar ist allerdings, ob hinter diesem ersten Angriff bereits Storm-1175 steckte. Die Behebung erwies sich laut N-able als schwierig: Die Angreifer fanden einen Weg, einen ersten Patch zu umgehen. Daraufhin veröffentlichte das Unternehmen am 2. August einen Notfall-Hotfix und am 6. August einen zweiten, verbunden mit dem Hinweis an Kunden, dass der erste nicht ausreiche.

Selbst nach Bereitstellung der Patches blieben viele Systeme laut Huntress ungepatcht. Nach Angaben des Unternehmens war bei den erreichbaren N-central-Cloud-Servern in seiner Partnerbasis mehr als die Hälfte noch nicht aktualisiert. Bei selbst betriebenen Instanzen seien 28,6 Prozent weiterhin exponiert gewesen. Huntress erklärte zudem, wer N-central in einer „höheren Risikoumgebung“ betreibe, „in der sich die Exponierung nicht sinnvoll reduzieren lässt“, müsse womöglich erwägen, das Werkzeug abzuschalten. Zugleich warnte das Unternehmen, dass die Abschaltung von N-central den Verlust zentraler Transparenz, des Patchings und des Fernzugriffs bedeute.