Ehemaliger Medusa-Partner setzt auf neue Ransomware StormEncryptor

Microsoft entdeckte die neue Ransomware StormEncryptor, eingesetzt von der mutmaßlich chinesischen Gruppe Storm-1175, die zuvor auf Medusa setzte.

Am 2. August begann Storm-1175 laut Microsoft mit dem Einsatz der zuvor unbekannten Ransomware-Familie StormEncryptor, die erste öffentlich beobachtete Aktivität der Gruppe seit April 2026. Als wahrscheinlichen Ausgangspunkt der Angriffe nennt Microsoft die Ausnutzung von CVE-2026-18577, einer Schwachstelle zur Umgehung der Authentifizierung im Fernwartungswerkzeug N-central des Anbieters N-able. Die Lücke gilt als Umgehung eines zuvor bereits behobenen, verwandten Fehlers mit der Kennung CVE-2026-18556 und wurde am 2. August öffentlich bekannt, am selben Tag, an dem Microsoft die ersten StormEncryptor-Aktivitäten beobachtete. Bereits am 3. August nahm die US-Behörde CISA die Schwachstelle in ihren Katalog aktiv ausgenutzter Lücken auf.

StormEncryptor selbst ist in der Programmiersprache C++ geschrieben, versieht verschlüsselte Dateien mit der Endung .encrypted und hinterlegt in jedem durchsuchten Verzeichnis eine Lösegeldforderung mit dem Dateinamen !!!README_FIRST!!!.txt. Darin fordern die Angreifer Betroffene auf, innerhalb von drei Tagen über anonymisierte Kommunikationskanäle Kontakt aufzunehmen, und drohen bei Nichtzahlung mit der Veröffentlichung zuvor gestohlener Daten. Für die laterale Bewegung im Netzwerk sowie den Diebstahl von Zugangsdaten setzten die Angreifer nach bisherigen Erkenntnissen unter anderem auf die Fernwartungswerkzeuge AnyDesk und SimpleHelp, den Advanced IP Scanner sowie das Passwort-Auslesewerkzeug Mimikatz.

Bekannt für sehr schnelle Angriffsdurchführung

Storm-1175 gilt Microsoft zufolge als China-basierter Akteur, der in der Vergangenheit über Zero-Day– und bereits bekannte Schwachstellen in Produkten wie Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, Fortinet FortiClient EMS sowie Fortras GoAnywhere MFT in Systeme eindrang, um anschließend Medusa-Ransomware auszurollen. Die Gruppe war dabei bereits zuvor für ihre hohe Angriffsgeschwindigkeit bekannt: Nach früheren Angaben von Microsoft gelang ihr wiederholt der Übergang vom ersten Zugriff bis zur vollständigen Verschlüsselung innerhalb von weniger als 24 Stunden, teilweise nutzte die Gruppe Schwachstellen bereits eine volle Woche vor deren offizieller öffentlicher Bekanntgabe aus. Zu den bisherigen Opfern von Storm-1175 zählten laut Berichten unter anderem Organisationen aus dem Gesundheitswesen sowie der Finanz- und Dienstleistungsbranche in Australien, Großbritannien und den USA.

Empfohlene Sofortmaßnahmen gegen die Ransomware

N-able hat für die ausgenutzte Schwachstelle die Version 2026.3.1.7, auch als 2026.3 HF1 bezeichnet, veröffentlicht. Gehostete N-central-Installationen werden nach Angaben des Unternehmens automatisch aktualisiert, Betreiber lokaler Installationen sollten das Update umgehend selbst einspielen. Organisationen, die N-able-Produkte einsetzen, wird zudem empfohlen zu prüfen, ob ihre Verwaltungsoberflächen tatsächlich aus dem offenen Internet erreichbar sein müssen, und den Zugriff andernfalls konsequent einzuschränken sowie stark abzusichern. Sicherheitsteams sollten zusätzlich gezielt nach unerwarteten Installationen oder Spuren von AnyDesk, SimpleHelp, Advanced IP Scanner und Mimikatz suchen.

(red)