Un gruppo cybercriminale già legato all’operazione Medusa ha iniziato a diffondere StormEncryptor, un nuovo ransomware individuato da Microsoft Threat Intelligence come Storm-1175. Gli attacchi sfruttano una vulnerabilità critica in N-central e puntano a estorcere denaro minacciando la pubblicazione dei dati rubati.
Un attore malevolo motivato da fini economici, precedentemente associato al ransomware Medusa, ha avviato una nuova campagna utilizzando StormEncryptor, una variante di ransomware recentemente identificata da Microsoft Threat Intelligence con il nome Storm-1175. Secondo Microsoft, gli attacchi più recenti sono stati probabilmente preceduti dallo sfruttamento di una vulnerabilità di bypass dell’autenticazione (CVE-2026-18577) nel software di gestione remota N-central.
Nuova minaccia e tecniche di attacco
Storm-1175, ritenuto un gruppo con base in Cina, era già noto per aver sfruttato vulnerabilità zero-day e n-day in diversi prodotti, tra cui GoAnywhere MFT, SmarterTools SmarterMail, Microsoft Exchange, Invanti Connect Secure e JetBrains TeamCity. L’adozione di StormEncryptor rappresenta la prima attività osservata da Microsoft Threat Intelligence dal mese di aprile 2026, segnando un allontanamento dal ransomware Medusa precedentemente utilizzato dal gruppo.
StormEncryptor è un malware sviluppato in C++ che cifra i file delle vittime aggiungendo l’estensione “.encrypted” e inserisce una nota di riscatto denominata ‘!!!README_FIRST!!!.txt’ in ogni cartella analizzata. La nota concede tre giorni per contattare gli attaccanti e negoziare il pagamento, minacciando in caso contrario la pubblicazione online dei dati sottratti.
Fasi dell’attacco e strumenti impiegati
Dopo aver ottenuto l’accesso alla rete bersaglio, Storm-1175 utilizza strumenti come AnyDesk o SimpleHelp per il controllo remoto, Advanced IP Scanner per la mappatura della rete e Mimikatz per l’estrazione delle credenziali dal processo LSASS. Microsoft sottolinea la rapidità con cui il gruppo passa dalla compromissione iniziale all’esfiltrazione dei dati e al rilascio del ransomware, spesso nell’arco di pochi giorni.
Gli amministratori di sistemi che gestiscono server N-central auto-ospitati sono invitati ad agire tempestivamente per mettere in sicurezza le infrastrutture. Microsoft raccomanda di monitorare eventuali attività sospette riconducibili a Storm-1175 e di applicare senza ritardi le patch di sicurezza disponibili.
Patch e raccomandazioni per la sicurezza
N-able ha risolto la vulnerabilità CVE-2026-18577 con un hotfix (2026.3 HF1/build 2026.3.1.7) rilasciato il 2 agosto, invitando i clienti a installare immediatamente l’aggiornamento. L’azienda consiglia inoltre di verificare la presenza di file sospetti come _svchost.exe_ nelle cartelle Documenti degli utenti, servizi registrati con il nome Cloudflared e connessioni in ingresso dagli indirizzi IP segnalati nell’avviso ufficiale.
