Microsoft: China-nahe Gruppe setzt neue Ransomware StormEncryptor wohl über N-able-N-central-Lücke ein

Zusammenfassung

Microsoft hat offengelegt, dass die finanziell motivierte und mit China verbundene Gruppe Storm-1175 eine bislang nicht dokumentierte Ransomware namens StormEncryptor einsetzt. Nach Angaben des Microsoft Threat Intelligence Teams markiert das einen Wechsel gegenüber der bisherigen Nutzung von Medusa-Ransomware. Als wahrscheinlichen Zugangspfad nennt Microsoft die Ausnutzung von CVE-2026-18577 in N-able N-central, auch wenn die in dieser Kampagne tatsächlich missbrauchte Schwachstelle bislang nicht eindeutig feststeht. Die neu veröffentlichte Lücke gilt als Patch-Umgehung für CVE-2026-18556; beide Fehler ermöglichen bei anfälligen Versionen die Umgehung der Authentifizierung und die Übernahme von Konten. Die U.S. Cybersecurity and Infrastructure Security Agency, kurz CISA, hat beide Schwachstellen inzwischen als aktiv ausgenutzt eingestuft. Microsoft beschreibt Storm-1175 als Akteur, der bekannte und neue Schwachstellen mit hoher Geschwindigkeit ausnutzt, um internetseitig erreichbare Systeme in dem Zeitfenster zwischen Offenlegung und Patch-Einspielung zu kompromittieren.

Laut Microsoft ist StormEncryptor in C++ geschrieben. Die Schadsoftware hängt an verschlüsselte Dateien die Endung “.encrypted” an und legt in jedem gescannten Verzeichnis eine Lösegeldnotiz mit dem Namen “!!!README_FIRST!!!.txt” ab. Für Microsoft ist der Einsatz dieser Ransomware vor allem deshalb bemerkenswert, weil Storm-1175 zuvor mit Medusa in Verbindung gebracht wurde und nun offenbar auf eine neue Variante umgestiegen ist.

Welcher Fehler in der aktuellen Kampagne konkret ausgenutzt wurde, ist nach Angaben des Unternehmens noch unklar. Microsoft hält es jedoch für wahrscheinlich, dass der Erstzugang über CVE-2026-18577 in N-able N-central erfolgte. Diese Schwachstelle wird als Patch-Bypass für CVE-2026-18556 bewertet. Beide Lücken erlauben in betroffenen Versionen eine Umgehung der Authentifizierung und die Übernahme von Konten. CISA hat sie inzwischen als Schwachstellen gekennzeichnet, die aktiv in freier Wildbahn ausgenutzt werden.

Storm-1175 beschreibt Microsoft als in China ansässigen Bedrohungsakteur mit finanziellem Motiv. Die Gruppe ist demnach dafür bekannt, nach der Ausnutzung von Sicherheitslücken Medusa-Ransomware auszurollen. Microsoft nennt in diesem Zusammenhang Mirth Connect mit CVE-2023-37679 und CVE-2023-43208, ConnectWise ScreenConnect mit CVE-2024-1709 und CVE-2024-1708, JetBrains TeamCity mit CVE-2024-27198 und CVE-2024-27199 sowie Fortinet FortiClient EMS mit CVE-2023-48788.

In einer im Oktober 2025 veröffentlichten Analyse schrieb Microsoft Storm-1175 außerdem die Ausnutzung der kritischen Fortra-GoAnywhere-Schwachstelle CVE-2025-10035 zu, um die Bereitstellung von Medusa-Ransomware zu erleichtern. Nach Darstellung des Windows-Herstellers kombiniert die Gruppe Zero-Days und bereits bekannte, aber noch nicht überall geschlossene N-Day-Schwachstellen, um Angriffe mit hoher Geschwindigkeit durchzuführen.

Für die aktuelle Aktivität beschreibt Microsoft auch das Verhalten nach einer Kompromittierung. Demnach missbraucht Storm-1175 die Remote-Monitoring- und -Management-Werkzeuge AnyDesk oder SimpleHelp, nutzt Advanced IP Scanner zur Aufklärung und greift mit Mimikatz auf LSASS zu. Außerdem hat Microsoft beobachtet, dass die Gruppe nach dem Erstzugang schnell zu Datenabfluss und dem Ausrollen von Ransomware übergeht, meist innerhalb weniger Tage.

Microsoft: China-nahe Gruppe setzt neue Ransomware StormEncryptor wohl über N-able-N-central-Lücke ein

Ähnliche Artikel

Neueste Artikel