Microsoft berichtet über eine neue, bislang nicht dokumentierte Ransomware namens StormEncryptor Ransomware. Der Bedrohungsakteur dahinter wird mit einem China-gebundenen Cluster in Verbindung gebracht, das in der Vergangenheit bereits mehrere bekannte Erpressungsfamilien eingesetzt hat. Laut den veröffentlichten Details zeigt die aktuelle Aktivität sowohl technische als auch taktische Unterschiede gegenüber früheren Kampagnen.
Besonders relevant: Als möglicher Einstiegspunkt wird eine Schwachstelle im Umfeld von N-able N-central diskutiert. Auch wenn der genaue technische Pfad noch nicht vollständig geklärt ist, betont Microsoft die Bedeutung schneller Patch-Anwendung, weil solche Angriffe häufig die Zeitspanne zwischen Veröffentlichung und Aktualisierung ausnutzen.
Was ist StormEncryptor Ransomware?
StormEncryptor ist eine neue Verschlüsselungs-Variante, die Microsoft den bisherigen Aktivitäten des Akteurs gegenüberstellt. Der Hersteller ordnet die Entwicklung als Wechsel von früher eingesetzter Medusa-Ransomware ein. Technisch beschreibt Microsoft dabei mehrere auffällige Merkmale:
- Die Schadsoftware ist in C++ geschrieben.
- Beim Verschlüsseln hängt sie an Dateinamen die Endung .encrypted an.
- Danach legt sie eine Lösegeldnotiz mit dem Namen !!!README_FIRST!!!.txt in jedem untersuchten Verzeichnis ab.
Diese Muster helfen dabei, entsprechende Infektionsspuren schneller einzuordnen. Gleichzeitig sind sie nur ein Teil des Gesamtbildes: Entscheidend ist vor allem, wie der Angriff in die Umgebung gelangt und wie sich die Akteure danach bewegen.
Vermuteter Einstieg: N-able N-central und CVE-2026-18577
Microsoft macht zwar keine endgültige Aussage darüber, welche konkrete Schwachstelle im Detail genutzt wurde, nennt aber eine wahrscheinliche Richtung. Für die aktuelle Kampagne schätzt der Konzern, dass der Angriff CVE-2026-18577 ausnutzen könnte. Dabei handelt es sich um eine neu offengelegte Sicherheitslücke in N-able N‑central, um die erste Zugriffsmöglichkeit zu erlangen.
Ein weiterer Punkt ist die Einordnung im Vulnerability-Kontext: Microsoft bewertet CVE-2026-18577 als möglichen Patch-Bypass im Zusammenhang mit CVE-2026-18556. Beide Schwachstellen sollen in anfälligen Versionen Schwächen ermöglichen, die letztlich zu Authentication Bypass und Account Takeover führen können.
Darüber hinaus wurden die betreffenden Lücken nach Microsoft-Angaben von der US-Behörde CISA als bereits im „Wild“-Einsatz eingestuft. Das bedeutet: Es geht nicht nur um theoretische Risiken, sondern um Angriffe, die offenbar bereits aktiv durchgeführt werden.
Storm-1175: Von Medusa zu StormEncryptor
Der Bedrohungsakteur, der mit dieser Aktivität in Verbindung gebracht wird, trägt bei Microsoft die Bezeichnung Storm-1175. Laut Microsoft weist die Gruppe eine Historie auf, in der sie nach Ausnutzung verschiedener Sicherheitslücken bereits mehrere Ransomware-Kampagnen erfolgreich gestartet hat.
Zu den genannten früheren Fällen gehören unter anderem Einsätze nach dem Ausnutzen von Schwachstellen in:
- Mirth Connect (u. a. CVE-2023-37679, CVE-2023-43208)
- ConnectWise ScreenConnect (u. a. CVE-2024-1709, CVE-2024-1708)
- JetBrains TeamCity (u. a. CVE-2024-27198, CVE-2024-27199)
- Fortinet FortiClient EMS (CVE-2023-48788)
Diese Beispiele verdeutlichen ein Muster: Die Gruppe zielt häufig auf internetzugängliche Systeme und nutzt Schwachstellen aus, um schnell in Umgebungen vorzudringen. Zusätzlich verweist Microsoft auf eine Analyse aus Oktober 2025, in der der Akteur mit der Ausnutzung einer kritischen Lücke in Fortra GoAnywhere (CVE-2025-10035) in Verbindung gebracht wurde, um die Ausbringung von Medusa zu unterstützen.
Remote-Tools und typische Post-Compromise-Schritte
Ein weiterer Schwerpunkt der Microsoft-Beschreibung liegt auf dem Verhalten nach dem erfolgreichen Eindringen. So nennt der Konzern, dass Storm-1175 in dieser neuen Aktivität unter anderem Missbrauch von Remote-Monitoring- und Remote-Management-Tools betreibt. Genannt werden:
- AnyDesk
- SimpleHelp
Für die Entdeckung innerhalb der Zielumgebung wird zudem ein Tool wie Advanced IP Scanner erwähnt. Damit lassen sich Netzbereiche schnell nach weiteren Systemen abscannen. Außerdem beschreibt Microsoft Schritte zur Credential-Ausweitung bzw. zum Zugriff auf sensible Informationen: Dazu gehört das Dumpen von LSASS mittels Mimikatz.
Diese Kombination ist in der Praxis ein wiederkehrendes Vorgehen: Zuerst Zugang schaffen, dann Erkundung betreiben, anschließend Identitäten und Anmeldedaten in den Mittelpunkt rücken. Von dort aus wird die Basis gelegt, um Daten exfiltrieren zu können und schließlich die Ransomware auszurollen.
Schnelligkeit zählt: Von Initial Access zu Ransomware in wenigen Tagen
Microsoft betont, dass Storm-1175 nach dem initialen Zugriff häufig sehr schnell vorgeht. Beobachtet wurde, dass die Akteure den Weg von der ersten Kompromittierung bis zur Datenexfiltration und zur anschließenden Bereitstellung der Ransomware überwiegend innerhalb weniger Tage schaffen.
Genau deshalb sollten Unternehmen nicht abwarten. Wenn sich eine Umgebung nachweislich in einem verwundbaren Zustand befindet, ist das Risiko besonders hoch, weil Angreifer die Zeitspanne zwischen Veröffentlichung einer Schwachstelle und der tatsächlichen Patch-Einspielung ausnutzen.
Was bedeutet das für Unternehmen?
Auch wenn der konkrete Exploit-Weg in der aktuellen Meldung noch nicht zu 100 Prozent abschließend ist, lässt sich aus den Informationen dennoch klar ableiten, worauf es jetzt ankommt.
1) Patches zeitnah einspielen
Da Microsoft und CISA entsprechende Schwachstellen als aktiv ausnutzbar einstufen, ist zeitnahes Patchen eine der wichtigsten Maßnahmen. Besonders Umgebungen, in denen N-able N‑central im Einsatz ist, sollten prioritär geprüft werden.
2) Exponierte Systeme prüfen
Storm-1175 setzt nach Microsoft-Beschreibung häufig auf internetzugängliche Komponenten. Prüfen Sie deshalb, welche Systeme öffentlich erreichbar sind, ob es veraltete Versionen gibt und ob Zugangspfade ausreichend abgesichert sind.
3) Aktivitäten nach dem Initial Access überwachen
Da Remote-Tools, Netzwerkscans und Credential-Dumping in den Post-Compromise-Schritten vorkommen, sind Überwachungen für solche Muster sinnvoll. Dazu gehören beispielsweise ungewöhnliche Nutzung von Remote-Administration-Software und auffällige Aktivitäten rund um LSASS.
4) Backup- und Wiederherstellungsstrategie testen
Da sich die Ransomware-Logik über Dateiendungen und eine standardisierte Notiz erkennen lässt, sollten Teams gleichzeitig sicherstellen, dass Wiederherstellungskonzepte funktionieren. Ein getestetes Restore reduziert den Schaden, falls die Verschlüsselung bereits erfolgt ist.
Fazit: StormEncryptor Ransomware ist ein Warnsignal
StormEncryptor Ransomware zeigt, dass der Bedrohungsakteur hinter Storm-1175 weiterhin in der Lage ist, neue Schadcode-Varianten einzuführen und bestehende Abläufe anzupassen. Microsoft koppelt die aktuelle Kampagne an eine wahrscheinlich über N-able N‑central laufende Schwachstellenroute, wobei CVE-2026-18577 als mögliches Ziel im Raum steht. Ergänzend wird die Einordnung als Patch-Bypass-ähnlicher Kontext zu CVE-2026-18556 genannt.
Für Organisationen liegt die zentrale Handlungsempfehlung auf der Hand: Schwachstellen beheben, exponierte Systeme härten und verdächtige Aktivitäten nach dem Eindringen früh erkennen. Je schneller die relevanten Patches eingespielt werden, desto kleiner wird die Angriffsfläche für eine Erpressung wie durch StormEncryptor.
Quelle: https://thehackernews.com/2026/08/china-linked-hackers-deploy-new.html
