Storm-1175 kehrt mit neuer StormEncryptor-Ransomware und frischen Angriffstaktiken zurück, warnt Microsoft

Storm-1175 ist zurück, und Microsoft erklärt, dass die Ransomware-Bande mit einer neuen Variante namens StormEncryptor aufwartet. In einem ausführlichen Beitrag auf X teilte Microsoft Threat Intelligence mit, dass die finanziell motivierte Gruppe am 2. August mit dem Einsatz der Malware begann – die erste Aktivität, die Microsoft seit April von ihr beobachtet hat.

Storm-1175 ist über Medusa hinausgewachsen

StormEncryptor bedeutet eine deutliche Veränderung für die Gruppe. Storm-1175 wurde bisher mit schnellen Medusa-Ransomware-Kampagnen in Verbindung gebracht. Die neue Ransomware ist in C++ geschrieben und hängt die Erweiterung .encrypted an die betroffenen Dateien an. Außerdem legt sie in gescannten Verzeichnissen eine Lösegeldforderung mit dem Namen !!!README_FIRST!!!.txt ab.

Microsoft hat nicht genau bestätigt, wie Storm-1175 bei dieser Kampagne Zugriff erlangt hat. Das Unternehmen geht jedoch davon aus, dass der Akteur möglicherweise CVE-2026-18577 ausnutzt. Die Sicherheitslücke betrifft N-able und ermöglicht eine Umgehung der Authentifizierung. Sie wurde am 2. August veröffentlicht und gelangte Berichten zufolge bereits am folgenden Tag in den Katalog der bekannten ausgenutzten Sicherheitslücken (Known Exploited Vulnerabilities) der CISA.

Microsoft hat Storm-1175 zuvor als einen Akteur beschrieben, der neu bekanntgewordene Sicherheitslücken schnell für Angriffe instrumentalisieren kann.

Die Ransomware-Angriffe schreiten schnell voran

Ist Storm-1175 erst einmal in ein Netzwerk eingedrungen, setzt die Gruppe Berichten zufolge auf gängige Verwaltungstools. Microsoft beobachtete den Einsatz von AnyDesk und SimpleHelp für den Fernzugriff. Zudem verwendet sie Advanced IP Scanner zur Netzwerkerkennung.

Zum weiteren Vorgehen gehört der Diebstahl von Anmeldeinformationen. Microsoft zufolge hat Storm-1175 dabei Mimikatz in Kombination mit LSASS-Dumping-Techniken eingesetzt. Die Gruppe ist dafür bekannt, rasch vom Erstzugriff zum Datendiebstahl und zur Ransomware-Ausbringung überzugehen. Microsoft hatte bereits früher Angriffe beobachtet, die innerhalb eines einzigen Tages bis zur Ransomware-Ausbringung gelangten.

Microsoft Defender Antivirus erkennt StormEncryptor als Ransom:Win64/StormEncryptor. Defender for Endpoint liefert zudem Warnmeldungen, die mit Hands-on-Keyboard-Angriffen und möglichen von Menschen gesteuerten bösartigen Aktivitäten im Zusammenhang stehen.

Unternehmen sollten der Aktualisierung gefährdeter Systeme hohe Priorität einräumen und auf ungewöhnliche Fernwartungsaktivitäten achten.