Storm-1175 ritorna con il nuovo ransomware StormEncryptor e nuove tattiche d'attacco, avverte Microsoft

Storm-1175 è tornato e, secondo Microsoft, il gruppo ransomware ha cambiato strategia adottando un nuovo ceppo chiamato StormEncryptor. In un post dettagliato su X, Microsoft Threat Intelligence ha comunicato che il gruppo, motivato da finalità economiche, ha iniziato a distribuire il malware il 2 agosto, segnando la prima attività osservata da Microsoft dallo scorso aprile.

Storm-1175 è andato oltre Medusa

StormEncryptor rappresenta un cambiamento significativo per il gruppo. Storm-1175 era precedentemente associato alle rapide campagne ransomware Medusa. Il nuovo ransomware è scritto in C++ e aggiunge l’estensione .encrypted ai file presi di mira. Inoltre, rilascia una nota di riscatto !!!README_FIRST!!!.txt all’interno delle directory scansionate.

Microsoft non ha confermato esattamente come Storm-1175 sia riuscito ad accedere durante questa campagna. Tuttavia, l’azienda ritiene che il gruppo possa aver sfruttato CVE-2026-18577. La vulnerabilità riguarda N-able e consente un bypass dell’autenticazione. È stata divulgata il 2 agosto e, secondo quanto riportato, è entrata nel catalogo Known Exploited Vulnerabilities di CISA il giorno successivo.

Microsoft ha già descritto Storm-1175 come un attore che trasforma rapidamente in arma le vulnerabilità appena divulgate.

Gli attacchi ransomware procedono rapidamente

Una volta all’interno di una rete, Storm-1175 si affida a strumenti di amministrazione noti per le proprie operazioni. Microsoft ha osservato il gruppo utilizzare AnyDesk e SimpleHelp per l’accesso remoto e Advanced IP Scanner per il rilevamento della rete.

Anche il furto di credenziali fa parte delle attività. Microsoft afferma che Storm-1175 ha impiegato Mimikatz insieme a tecniche di dumping di LSASS. Il gruppo è noto per passare rapidamente dall’accesso iniziale al furto di dati e alla distribuzione del ransomware. In precedenza, Microsoft aveva osservato alcuni attacchi raggiungere la fase di distribuzione del ransomware nell’arco di un giorno.

Microsoft Defender Antivirus rileva StormEncryptor come Ransom:Win64/StormEncryptor. Defender for Endpoint fornisce anche avvisi relativi ad attacchi condotti manualmente da tastiera e alla potenziale attività dannosa gestita da operatori umani.

Le organizzazioni dovrebbero dare priorità all’applicazione delle patch sui sistemi esposti e monitorare eventuali attività insolite di gestione remota.