Microsoft Threat Intelligence ordnet Storm-1175 als finanziell motivierten Akteur ein, der mutmaßlich in China ansässig ist. Zuvor wurde die Gruppe mit Medusa-Ransomware in Verbindung gebracht und nutzte nach Angaben von Microsoft Zero-Day- und N-Day-Schwachstellen in mehreren Produkten aus, darunter GoAnywhere MFT, SmarterTools SmarterMail, Microsoft Exchange, Ivanti Connect Secure und JetBrains TeamCity.

Mit StormEncryptor beobachtet Microsoft nun eine neue Schadsoftwarefamilie bei demselben Akteur. Die Forscher beschreiben sie als in C++ entwickelte Malware, die verschlüsselte Dateien mit der Endung “.encrypted” versieht. Außerdem legt sie in jedem gescannten Verzeichnis eine Lösegeldnotiz mit dem Namen „!!!README_FIRST!!!.txt“ ab.

Die Notiz setzt Betroffenen dem Bericht zufolge eine Frist von drei Tagen, um mit dem Angreifer Kontakt aufzunehmen und über eine Lösegeldzahlung zu verhandeln. Andernfalls würden die gestohlenen Daten im Internet veröffentlicht.

Als wahrscheinlichen Ausgangspunkt der jüngsten Angriffe nennt Microsoft die Ausnutzung von CVE-2026-18577. Dabei handelt es sich um eine Schwachstelle zur Umgehung der Authentifizierung in N-central. N-able hat das Problem mit dem Hotfix 2026.3 HF1 beziehungsweise Build 2026.3.1.7 behoben und den Patch am 2. August veröffentlicht. Das Unternehmen forderte Kunden auf, die Aktualisierung umgehend zu installieren.

Für die Aktivitäten nach dem Erstzugriff nennt Microsoft mehrere Werkzeuge. Storm-1175 habe AnyDesk oder SimpleHelp für die Fernverwaltung verwendet, Advanced IP Scanner zur Netzwerkerkundung und Mimikatz, um Anmeldedaten aus dem Prozess Local Security Authority Subsystem Service (LSASS) auszulesen.

Microsoft warnt, dass Storm-1175 sich nach dem ersten Eindringen sehr schnell durch Zielumgebungen bewege. Der Akteur sei dafür bekannt, innerhalb weniger Tage vom Erstzugriff zur Datenexfiltration und zur Ausbringung der Ransomware überzugehen. Organisationen sollten daher auf Aktivitäten von Storm-1175 achten und Sicherheitsupdates so schnell wie möglich einspielen.

Auch N-able hatte zuvor konkrete Hinweise auf mögliche Kompromittierungen genannt. Administratoren sollten laut dem Anbieter unter anderem auf eine Datei namens svchost.exe in den Dokumente-Ordnern von Benutzergeräten achten, auf einen registrierten Dienst mit dem Namen Cloudflared sowie auf eingehende Verbindungen von den in der Warnmeldung aufgeführten IP-Adressen.