Um ator de ameaça rastreado como Storm-1175, anteriormente afiliado ao ransomware Medusa, migrou para uma nova cepa chamada StormEncryptor, explorando vulnerabilidades zero-day e n-day em ferramentas críticas amplamente usadas por empresas.
O ator de ameaça Storm-1175
O grupo, identificado pela Microsoft Threat Intelligence, é suspeito de ter origem na China e tem como alvo sistemas explorando falhas em produtos como GoAnywhere MFT, SmarterTools SmarterMail, Microsoft Exchange, Ivanti Connect Secure e JetBrains TeamCity. A mudança de Medusa para StormEncryptor sugere uma estratégia adaptativa para evadir detecção e otimizar a cadeia de ataque do grupo.
Vulnerabilidade explorada como porta de entrada
Os ataques recentes foram precedidos pela exploração da CVE-2026-18577, uma falha de bypass de autenticação na ferramenta de monitoramento e gerenciamento remoto (RMM) N-central.
Essa exploração de aplicações expostas publicamente corresponde à técnica T1190 do MITRE ATT&CK, cada vez mais usada por adversários para obter acesso amplo através de infraestrutura de gerenciamento remoto privilegiada.
Cadeia de ataque após o acesso inicial
Uma vez dentro do ambiente, o Storm-1175 segue um fluxo de ataque rápido e bem definido, combinando ferramentas legítimas e maliciosas para maximizar o impacto em poucos dias.
Gerenciamento remoto via AnyDesk ou SimpleHelp
Descoberta de rede com Advanced IP Scanner (T1018)
Despejo de credenciais do processo LSASS usando Mimikatz (T1003.001)
Movimento lateral via Remote Desktop Protocol (T1021.001)
Exfiltração de dados pelo canal de comando e controle (T1041)
Criptografia final dos dados para impacto (T1486).
Por que isso importa
O tempo operacional do Storm-1175 — da invasão inicial até a exfiltração e criptografia em poucos dias — reforça a necessidade crítica de gerenciamento robusto de vulnerabilidades e resposta acelerada a incidentes. A exploração continuada de aplicações voltadas ao público evidencia a importância de defesas proativas contra as técnicas T1190 e T1003.001.
Recomendações prioritárias
Identificar todas as instâncias de N-central RMM no ambiente e verificar a aplicação do patch para CVE-2026-18577
Realizar verificação urgente em GoAnywhere MFT, SmarterMail, Microsoft Exchange, Ivanti Connect Secure e JetBrains TeamCity
Priorizar remediação de vulnerabilidades que possam levar a acesso inicial ou escalação de privilégios
Atualizar cronogramas de patches para ferramentas RMM e aplicações expostas, com foco em falhas n-day e zero-day
Monitorar fontes de inteligência de ameaças e fóruns para novos IOCs relacionados ao StormEncryptor.
Fonte: BleepingComputer — “New StormEncryptor ransomware used by former Medusa affiliate”
