Neue StormEncryptor-Ransomware wird von ehemaligem Medusa-Partner eingesetzt

Microsoft hat eine neue Ransomware-Variante namens StormEncryptor mit einem Bedrohungsakteur in Verbindung gebracht, der zuvor mit der Medusa-Ransomware-Operation in Verbindung stand.

Die als Storm-1175 verfolgte Gruppe nutzte wahrscheinlich eine kürzlich bekannt gewordene Schwachstelle in N-central aus, bevor sie die Schadsoftware einschleuste. Organisationen, die selbst gehostete N-central-Server betreiben, sollten den verfügbaren Hotfix unverzüglich installieren.

Microsoft zufolge kann die Gruppe schnell vom ersten Zugriff zum Datendiebstahl und zur Bereitstellung von Ransomware übergehen.

Storm-1175 wendet sich von Medusa ab

Storm-1175 ist ein finanziell motivierter Bedrohungsakteur, der vermutlich von China aus operiert. Microsoft hatte die Gruppe zuvor mit Medusa-Ransomware-Angriffen in Verbindung gebracht.

Die Gruppe hat anfällige Systeme sowohl über Zero-Day-Schwachstellen als auch über bekannte Sicherheitslücken angegriffen. Zu ihren früheren Zielen gehören GoAnywhere MFT, SmarterMail, Microsoft Exchange, Ivanti Connect Secure und JetBrains TeamCity.

Microsoft beobachtete Aktivitäten von Storm-1175 zuletzt im April 2026. Die neue Kampagne markiert einen Wechsel von Medusa zur StormEncryptor-Ransomware.

N-central-Schwachstelle wahrscheinlich für Zugang genutzt

Microsoft erklärte, dass den jüngsten Angriffen wahrscheinlich die Ausnutzung von CVE-2026-18577 vorausging. Die Schwachstelle betrifft N-central, eine Plattform zur Fernüberwachung und -verwaltung.

Angreifer können anfällige RMM-Tools nutzen, um in Unternehmensnetzwerken Fuß zu fassen. Von dort aus können sie Zugangsdaten stehlen, sich zwischen Systemen bewegen und Ransomware einschleusen.

N-able veröffentlichte am 2. August einen Hotfix für CVE-2026-18577. Die Korrektur ist in N-central 2026.3 HF1, Build 2026.3.1.7, verfügbar.

Administratoren sollten das Update so schnell wie möglich installieren. Außerdem sollten sie ihre Umgebungen auf Anzeichen für unbefugten Zugriff überprüfen.

So funktioniert StormEncryptor

StormEncryptor ist eine in C++ geschriebene Ransomware. Sie verschlüsselt die Dateien der Opfer und fügt die Dateiendung .encrypted hinzu.

Die Schadsoftware legt außerdem Lösegeldforderungen in den von ihr durchsuchten Verzeichnissen ab. Darin erhalten die Opfer drei Tage Zeit, um die Angreifer zu kontaktieren.

Reagieren die Opfer nicht, droht die Gruppe mit der Veröffentlichung gestohlener Daten. Diese Taktik kombiniert Dateiverschlüsselung mit Erpressung durch Datendiebstahl.

Microsoft zufolge setzten die Angreifer nach dem Eindringen in die Zielnetzwerke legitime Fernzugriffswerkzeuge ein. Außerdem nutzten sie Tools zum Scannen von Netzwerken und zum Diebstahl von Zugangsdaten, um ihren Zugriff auszuweiten.

Verteidiger sollen schnell handeln

Microsoft warnte davor, dass Storm-1175 innerhalb weniger Tage vom ersten Zugriff zur Bereitstellung von Ransomware übergehen kann.

N-able hatte Administratoren zuvor dazu aufgefordert, mögliche Anzeichen einer Kompromittierung zu untersuchen. Dazu gehören eine unerwartete Datei namens svchost.exe im Dokumente-Ordner eines Benutzers sowie ein Dienst mit dem Namen Cloudflared.

Das Unternehmen stellte in seinem Sicherheitshinweis außerdem eine Liste verdächtiger IP-Adressen bereit. Organisationen sollten diese Hinweise prüfen und sämtliche Aktivitäten untersuchen, die mit diesen Indikatoren übereinstimmen.

Eine schnelle Installation der Updates bleibt die wichtigste Maßnahme. Sicherheitsteams sollten außerdem den Fernzugriff einschränken, ungewöhnliche Administratoraktivitäten überwachen und ihre N-central-Server auf Anzeichen einer Kompromittierung überprüfen.