A Microsoft identificou uma nova mudança nas operações do Storm 1175, grupo de ameaças financeiramente motivado e associado pela empresa a atividades baseadas na China. Em ataques recentes, os invasores começaram a utilizar um ransomware até então desconhecido, chamado StormEncryptor.
A descoberta chama atenção porque o grupo anteriormente utilizava o ransomware Medusa em suas operações. Agora, segundo a Microsoft Threat Intelligence, o Storm 1175 parece ter adotado uma ferramenta própria ou diferente para a etapa de criptografia dos ambientes comprometidos.
Existe ainda a suspeita de que uma vulnerabilidade recentemente divulgada no N able N central esteja sendo utilizada como porta de entrada, embora a Microsoft não tenha confirmado definitivamente qual falha permitiu o acesso inicial nesta campanha.
StormEncryptor é uma nova peça no arsenal do grupo
Segundo a análise da Microsoft, o StormEncryptor foi desenvolvido em C++ e adiciona a extensão .encrypted aos arquivos depois de criptografá los.
O ransomware também cria um arquivo chamado !!!README_FIRST!!!.txt nos diretórios examinados. Esse arquivo funciona como a nota deixada pelos invasores após a criptografia.
O uso do StormEncryptor representa uma mudança importante nas operações atribuídas ao Storm 1175, que já havia sido observado distribuindo o ransomware Medusa após comprometer diferentes produtos expostos à internet.
Falha no N central pode ser a porta de entrada
A Microsoft acredita que os ataques recentes provavelmente envolvem a exploração da CVE-2026-18577, vulnerabilidade divulgada recentemente no N able N central.
A falha é considerada uma possível forma de contornar a correção da CVE-2026-18556. Ambas podem permitir bypass de autenticação e tomada de contas em versões vulneráveis do produto.
A CISA incluiu essas vulnerabilidades em seu catálogo de falhas conhecidas por exploração ativa, reforçando a necessidade de atualização dos ambientes afetados.
Ainda assim, no caso específico da campanha do Storm 1175, a Microsoft afirma que o vetor inicial exato permanece incerto. Portanto, não é possível afirmar que todos os ataques envolvendo StormEncryptor começaram pela exploração da CVE 2026 18577.
Storm 1175 costuma atacar sistemas expostos
O comportamento não seria exatamente novidade para o grupo.
Segundo o histórico apresentado pela Microsoft, o Storm 1175 já explorou vulnerabilidades em produtos como Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, Fortinet FortiClient EMS e Fortra GoAnywhere.
Em diferentes campanhas, o grupo aproveitou tanto vulnerabilidades zero day quanto falhas já conhecidas para comprometer sistemas vulneráveis acessíveis pela internet.
A estratégia é relativamente simples: explorar o intervalo entre a divulgação de uma vulnerabilidade e a instalação da correção pelas organizações.
E esse intervalo pode ser pequeno.
Do acesso inicial ao ransomware em poucos dias
Depois de comprometer um ambiente, o Storm 1175 utiliza diferentes ferramentas para ampliar seu acesso e preparar a etapa final do ataque.
A Microsoft observou o uso das ferramentas de gerenciamento remoto AnyDesk e SimpleHelp, além do Advanced IP Scanner para descoberta de sistemas dentro da rede.
O grupo também foi visto utilizando o Mimikatz para obter informações do processo LSASS e acessar credenciais presentes nos sistemas comprometidos.
Uma característica particularmente importante das operações é a velocidade.
Segundo a Microsoft, os invasores conseguem avançar do acesso inicial para exfiltração de dados e implantação do ransomware em apenas alguns dias.
Janela para instalar atualizações está diminuindo
A campanha envolvendo StormEncryptor reforça um problema que vem se tornando cada vez mais evidente para administradores de sistemas.
Publicar uma correção não significa que os ambientes vulneráveis estejam automaticamente protegidos.
Grupos especializados monitoram a divulgação de novas vulnerabilidades e procuram rapidamente sistemas expostos que ainda não receberam as atualizações necessárias.
No caso das falhas recentes do N central, a confirmação de exploração ativa pela CISA aumenta a urgência para organizações que ainda mantêm versões vulneráveis.
A recomendação para administradores é verificar as orientações disponibilizadas pelo fabricante, aplicar as atualizações de segurança disponíveis e investigar sinais de comprometimento nos ambientes potencialmente expostos.
Com o Storm 1175 conseguindo avançar entre acesso inicial, roubo de dados e ransomware em poucos dias, a velha estratégia de deixar a atualização para a próxima janela de manutenção pode acabar oferecendo exatamente o tempo que os invasores precisam.
