Stormencryptor

Um ator de ameaças motivado financeiramente, anteriormente associado à operação de ransomware Medusa, agora está implantando uma nova variante de ransomware chamada StormEncryptor. A Microsoft Threat Intelligence está monitorando esse ator como Storm-1175, que é considerado baseado na China. Os ataques recentes foram precedidos pela exploração de uma vulnerabilidade de bypass de autenticação (CVE-2026-18577) na ferramenta de monitoramento remoto N-central. O StormEncryptor é um malware em C++ que criptografa arquivos, adicionando a extensão ‘.encrypted’ e deixa uma nota de resgate em cada diretório escaneado, dando às vítimas três dias para negociar o pagamento do resgate. Após acessar a rede alvo, o atacante utiliza ferramentas como AnyDesk e Mimikatz para gerenciar remotamente e extrair credenciais. A Microsoft alerta que o Storm-1175 se move rapidamente da inicialização do ataque para a exfiltração de dados e implantação do ransomware, recomendando que administradores de sistemas tomem medidas imediatas para proteger suas redes. A N-able já lançou um hotfix para a vulnerabilidade CVE-2026-18577, recomendando que os clientes apliquem a correção imediatamente.

A Microsoft revelou que o grupo de cibercrime Storm-1175, vinculado à China, lançou uma nova variante de ransomware chamada StormEncryptor. Essa nova ameaça representa uma mudança em relação ao uso anterior do ransomware Medusa. O StormEncryptor, escrito em C++, criptografa arquivos e adiciona a extensão .encrypted, além de deixar uma nota de resgate em cada diretório escaneado. Embora a vulnerabilidade exata explorada pelo grupo ainda não esteja clara, acredita-se que esteja relacionada à CVE-2026-18577, uma falha de segurança recentemente divulgada no N-able N-central, que permite a violação de autenticação e a tomada de conta. O Storm-1175 é conhecido por explorar uma combinação de vulnerabilidades zero-day e N-day para realizar ataques rápidos, aproveitando a janela entre a divulgação da vulnerabilidade e a adoção de patches. O comportamento pós-compromisso do grupo inclui o uso de ferramentas de monitoramento remoto e a rápida movimentação de acesso inicial para a exfiltração de dados e implantação de ransomware. A Microsoft alerta que é crucial que as empresas apliquem os patches imediatamente para mitigar os riscos associados a essa nova ameaça.