Microsoft ha segnalato una nuova campagna ransomware attribuita a Storm 1175, un gruppo criminale con legami con la Cina e una forte motivazione economica. La novità principale è l’uso di un ceppo finora non documentato chiamato StormEncryptor, che rappresenta un cambio di strategia rispetto alle precedenti operazioni basate su Medusa ransomware.
Per le aziende e per i provider di servizi gestiti, questa evoluzione evidenzia quanto sia cruciale ridurre i tempi tra disclosure delle vulnerabilità e applicazione delle patch.
StormEncryptor risulta sviluppato in C++ e, una volta avviata la fase di cifratura, aggiunge l’estensione .encrypted ai file colpiti. Dopo la scansione delle directory, il malware rilascia una nota di riscatto denominata !!!README_FIRST!!!.txt in ogni cartella individuata, un comportamento tipico delle famiglie ransomware moderne che puntano a massimizzare la pressione psicologica e operativa sulle vittime.
Per quanto riguarda il vettore di accesso iniziale, l’indicazione più probabile è lo sfruttamento di CVE-2026-18577 in N-able N-central, una falla recente collegata a un bypass di patch per CVE-2026-18556. Entrambe le vulnerabilità permettono scenari di bypass di autenticazione e account takeover in versioni vulnerabili, e sono state segnalate come attivamente sfruttate in attacchi reali. Questo aspetto rende N-central un potenziale punto critico nella catena di fornitura IT, soprattutto quando è esposto su internet o gestito con configurazioni non ottimali.
Dopo la compromissione, Storm 1175 è stato osservato abusare di strumenti di remote monitoring and management come AnyDesk o SimpleHelp per mantenere l’accesso e muoversi nell’ambiente. Per la fase di discovery vengono citati tool come Advanced IP Scanner, mentre per il furto di credenziali e l’accesso a segreti di sistema emergono tecniche di dumping di LSASS tramite Mimikatz. La rapidità è un elemento chiave: il gruppo riesce spesso a passare da accesso iniziale a esfiltrazione dati e distribuzione del ransomware in pochi giorni, aumentando drasticamente il rischio di impatto operativo e di data breach.