Une nouvelle étape dans la menace ransomware vient d’être révélée par Microsoft Threat Intelligence. Un acteur connu sous le nom de Storm-1175, associé à la motivation financière et à un lien avec la Chine, aurait déployé une rançongiciel inédite appelée StormEncryptor. Cette découverte est notable, car elle marque un changement par rapport aux familles de malwares utilisées jusque-là.
Selon les analyses publiées, StormEncryptor se distingue par son mode de fonctionnement et par le chemin possible menant à l’accès initial. Même si certains détails restent encore flous, le scénario décrit met en avant l’importance d’appliquer rapidement les correctifs et de réduire l’exposition des systèmes accessibles depuis Internet.
StormEncryptor : ce que fait la rançongiciel
Microsoft indique que StormEncryptor est écrit en C++. Une fois le chiffrement lancé, le malware ajoute une extension spécifique aux fichiers ciblés : .encrypted. Ce marquage facilite l’identification des données affectées et s’inscrit dans une logique classique des opérations de rançongiciels.
En complément, la rançongiciel dépose une note de rançon nommée !!!README_FIRST!!!.txt dans chaque répertoire analysé. Ce comportement traduit la volonté de maximiser la visibilité de l’instruction de paiement, en particulier sur des environnements où les utilisateurs peuvent être nombreux ou répartis sur plusieurs répertoires.
Un changement par rapport au ransomware précédent
Le rapport de Microsoft souligne que cette campagne constitue une évolution dans l’arsenal de Storm-1175. L’acteur aurait cessé de recourir à la rançongiciel Medusa au profit de StormEncryptor.
Ce type de bascule est courant dans les campagnes où les opérateurs testent de nouvelles variantes, ajustent leurs techniques ou s’adaptent aux environnements des victimes. Pour les équipes de sécurité, cela signifie qu’il faut rester vigilant : une défense basée uniquement sur des indicateurs liés à un ancien ransomware peut devenir insuffisante.
Accès initial : l’hypothèse autour de N-able N-central
La question la plus stratégique reste la méthode d’entrée. Microsoft affirme que la faille exacte exploitée n’est pas clairement établie, mais l’éditeur estime que l’attaque impliquerait probablement l’exploitation de CVE-2026-18577 dans N-able N-central, une vulnérabilité récemment rendue publique.
D’après l’évaluation rapportée, cette faille pourrait s’apparenter à un contournement de correctif, en lien avec CVE-2026-18556. Les deux failles seraient associées à des scénarios d’escalade d’accès, notamment des contournements d’authentification et une prise de contrôle de compte sur des versions vulnérables.
En parallèle, Microsoft rappelle que la CISA a signalé ces vulnérabilités comme étant exploitées activement dans la nature. Autrement dit, il ne s’agit pas uniquement d’un risque théorique : les attaques seraient déjà en cours chez certaines organisations.
Pourquoi l’écart entre publication et patch est critique
Microsoft insiste sur un point opérationnel : la fenêtre de temps entre la divulgation d’une vulnérabilité et l’adoption des correctifs est souvent exploitée par les acteurs malveillants. Dans ce contexte, Storm-1175 utiliserait un mélange de vulnérabilités à jour et de failles connues pour pénétrer des systèmes exposés sur Internet.
Cette approche à haute vélocité explique pourquoi les incidents peuvent s’enchaîner rapidement : une fois l’accès obtenu, l’attaquant peut progresser jusqu’au chiffrement et au vol de données avec une efficacité accrue.
Un historique d’exploitation de systèmes connectés
Storm-1175 n’est pas un acteur inconnu. Microsoft attribue au groupe une longue liste de déploiements de ransomware en tirant parti de failles dans plusieurs produits. Parmi les exemples cités : Mirth Connect (CVE-2023-37679, CVE-2023-43208), ConnectWise ScreenConnect (CVE-2024-1709, CVE-2024-1708), JetBrains TeamCity (CVE-2024-27198, CVE-2024-27199) et Fortinet FortiClient EMS (CVE-2023-48788).
Dans une analyse publiée en octobre 2025, Microsoft relie également Storm-1175 à l’exploitation d’une vulnérabilité critique visant Fortra GoAnywhere (CVE-2025-10035), utilisée pour faciliter le déploiement de Medusa. Le fil conducteur reste le même : profiter d’outils et de services accessibles pour obtenir un accès initial, puis accélérer l’exécution du cycle d’attaque.
Comportements post-prise de contrôle observés
Une fois le système compromis, Microsoft indique que Storm-1175 ne se limite pas à la persistance. Dans cette nouvelle activité, la phase post-contrôle inclurait l’abus d’outils de surveillance et de gestion à distance tels que AnyDesk ou SimpleHelp.
La stratégie comprend aussi des actions de découverte. Par exemple, l’Advanced IP Scanner serait utilisé pour cartographier l’environnement. Enfin, Microsoft rapporte une étape de récupération de secrets ou d’informations sensibles via le vidage de LSASS à l’aide de Mimikatz.
Ce cocktail technique montre une logique d’attaque structurée : accès, reconnaissance, extraction d’informations, puis passage à des étapes à impact direct comme l’exfiltration et le chiffrement.
Du premier accès au ransomware : quelques jours suffisent
Un point d’attention majeur, toujours selon Microsoft, est la rapidité du déroulement. Storm-1175 serait capable d’effectuer un chemin complet allant de l’accès initial à l’exfiltration puis au déploiement du ransomware en quelques jours dans la majorité des cas.
Cette temporalité renforce la nécessité d’une réaction rapide : si vos systèmes reposent sur des produits susceptibles d’être touchés, le traitement des correctifs ne doit pas attendre. Réduire la surface exposée, appliquer les mises à jour et vérifier les configurations sont des mesures qui peuvent faire la différence entre une compromission contenue et une attaque de grande ampleur.
Recommandations pratiques pour se protéger
À partir des éléments rapportés, plusieurs actions s’imposent pour diminuer le risque :
- Appliquez les correctifs dès que possible pour les vulnérabilités évoquées et, plus largement, pour tout composant critique de votre infrastructure.
- Vérifiez l’exposition Internet des services d’administration et des outils de monitoring : limitez l’accès aux seules machines et utilisateurs autorisés.
- Surveillez les signes d’abus d’outils distants (comme AnyDesk ou SimpleHelp) et les comportements de découverte réseau.
- Renforcez la détection de tentatives de dumping LSASS, car ce type d’activité s’inscrit souvent dans la préparation d’actions ultérieures.
- Préparez la réponse à incident : si une alerte de ransomware apparaît, le temps de réaction conditionne souvent l’impact final.
En combinant ces mesures, vous réduisez les chances qu’une attaque aboutisse rapidement à un chiffrement et à une double extorsion (vol de données puis ransomware).
Conclusion
La rançongiciel StormEncryptor illustre la capacité de Storm-1175 à faire évoluer ses outils tout en conservant une approche orientée vers la compromission d’environnements connectés. Microsoft estime que l’accès initial pourrait impliquer une exploitation liée à N-able N-central et à des vulnérabilités associées à des contournements de correctifs.
Face à ce type de campagne, la meilleure stratégie reste proactive : mettre à jour, réduire l’exposition, détecter les comportements post-prise de contrôle et réagir vite. Si vous gérez des systèmes concernés par ces produits, c’est le moment d’accorder une priorité élevée aux correctifs et aux vérifications.
Source: https://thehackernews.com/2026/08/china-linked-hackers-deploy-new.html
