A Microsoft revelou que o Storm-1175, um agente de ameaças financeiramente motivado ligado à China, implantou uma cepa de ransomware nunca antes documentada chamada StormEncryptor.
O uso do StormEncryptor marca uma mudança em relação ao uso anterior do ransomware Medusa pelo grupo, afirmou a Equipe de Inteligência de Ameaças da Microsoft.
"O StormEncryptor é escrito em C++ e anexa a extensão .encrypted aos arquivos que criptografa", informou a Microsoft em uma série de postagens no Bluesky. "Em seguida, ele deposita uma nota de resgate chamada !!!README_FIRST!!!.txt em cada diretório verificado."
Embora a vulnerabilidade exata explorada pelo agente de ameaça nesta campanha ainda não esteja clara, a gigante da tecnologia afirmou que o caso provavelmente envolve a exploração da CVE-2026-18577, uma falha de segurança recém-divulgada no N-able N‑central, para obter acesso inicial.
A vulnerabilidade é avaliada como um contornamento de correção (patch bypass) para a CVE-2026-18556, e ambas permitem a burla de autenticação e o sequestro de contas em versões suscetíveis. As falhas foram desde então sinalizadas pela Agência de Cibersegurança e Infraestrutura dos Estados Unidos (CISA) como sendo ativamente exploradas em ambiente real.
Storm-1175 é o nome atribuído a um agente de ameaça baseado na China com histórico de implantação do ransomware Medusa após explorar falhas de segurança no Mirth Connect (CVE-2023-37679, CVE-2023-43208), no ConnectWise ScreenConnect (CVE-2024-1709, CVE-2024-1708), no JetBrains TeamCity (CVE-2024-27198, CVE-2024-27199) e no Fortinet FortiClient EMS (CVE-2023-48788).
Em uma análise publicada em outubro de 2025, a Microsoft também atribuiu ao grupo a exploração de uma vulnerabilidade crítica de segurança que afeta o Fortra GoAnywhere (CVE-2025-10035) para facilitar a implantação do ransomware Medusa.
O grupo, segundo a fabricante do Windows, transforma em armas uma combinação de vulnerabilidades zero-day (desconhecidas) e N-day (recém-divulgadas) para realizar ataques de alta velocidade e invadir sistemas suscetíveis expostos à internet, aproveitando-se da janela entre a divulgação da falha e a adoção de correções.
"Nesta nova atividade, o comportamento pós-comprometimento do Storm-1175 inclui o abuso de ferramentas de monitoramento e gerenciamento remoto (RMM, na sigla em inglês) como AnyDesk ou SimpleHelp, o uso do Advanced IP Scanner para reconhecimento de ativos e o despejo de memória do LSASS (Serviço de Subsistema de Autoridade de Segurança Local) com o Mimikatz", acrescentou.
O Storm-1175 também foi observado migrando rapidamente do acesso inicial para a exfiltração de dados e a implantação de ransomware, geralmente em poucos dias, o que torna essencial que os clientes apliquem as correções o mais rápido possível.
