Storm-1175 kehrt mit neuer StormEncryptor-Ransomware und neuen Angriffstaktiken zurück, warnt Microsoft

Storm-1175 ist zurück, und Microsoft teilt mit, dass die Ransomware-Gruppe auf einen neuen Stamm namens StormEncryptor umgestiegen ist. In einem ausführlichen Beitrag auf X erklärte Microsoft Threat Intelligence, dass die finanziell motivierte Gruppe am 2. August mit der Verteilung der Malware begonnen hat – die erste von Microsoft beobachtete Aktivität seit April.

Storm-1175 ist über Medusa hinausgegangen

StormEncryptor stellt eine bemerkenswerte Veränderung für die Gruppe dar. Storm-1175 wurde zuvor mit schnellen Medusa-Ransomware-Kampagnen in Verbindung gebracht. Die neue Ransomware ist in C++ geschrieben und fügt die Erweiterung .encrypted zu den angegriffenen Dateien hinzu. Außerdem legt sie eine Lösegeldforderung mit dem Namen !!!README_FIRST!!!.txt in gescannten Verzeichnissen ab.

Microsoft hat nicht bestätigt, wie Storm-1175 während dieser Kampagne genau Zugang erlangt hat. Das Unternehmen geht jedoch davon aus, dass der Akteur CVE-2026-18577 ausnutzt. Die Sicherheitslücke betrifft N-able und beinhaltet eine Authentifizierungsumgehung. Sie wurde am 2. August offengelegt und landete Berichten zufolge am folgenden Tag im Known Exploited Vulnerabilities-Katalog von CISA.

Microsoft hat Storm-1175 zuvor als einen Akteur beschrieben, der neu offengelegte Schwachstellen schnell in Waffen umwandelt.

Die Ransomware-Angriffe gehen schnell vonstatten

Sobald es in einem Netzwerk ist, setzt Storm-1175 Berichten zufolge auf vertraute Verwaltungstools für seine Operationen. Microsoft beobachtete, wie die Gruppe AnyDesk und SimpleHelp für den Fernzugriff verwendete. Außerdem nutzt sie Advanced IP Scanner zur Netzwerkerkennung.

Der Diebstahl von Anmeldeinformationen ist ein weiterer Teil der Aktivität. Microsoft sagt, dass Storm-1175 Mimikatz zusammen mit LSASS-Dumping-Techniken eingesetzt hat. Die Gruppe ist dafür bekannt, schnell vom anfänglichen Zugang zum Datendiebstahl und zur Ransomware-Bereitstellung überzugehen. Microsoft hat zuvor beobachtet, dass einige Angriffe innerhalb eines Tages bis zur Ransomware-Bereitstellung führten.

Microsoft Defender Antivirus erkennt StormEncryptor als Ransom:Win64/StormEncryptor. Defender for Endpoint liefert zudem Warnmeldungen, die mit hands-on-keyboard-Angriffen und potenziell von Menschen gesteuerten bösartigen Aktivitäten in Verbindung stehen.

Organisationen sollten dem Patchen exponierter Systeme Priorität einräumen und auf ungewöhnliche Fernverwaltungsaktivitäten achten.