Storm-1175 usa StormEncryptor dopo gli attacchi a N-central

🛡️ Executive Summary

• Microsoft collega il gruppo China-based Storm-1175 a un nuovo ransomware chiamato StormEncryptor, osservato per la prima volta il 2 agosto 2026.
• L’accesso iniziale viene ritenuto probabilmente collegato a CVE-2026-18577 in N-able N-central, già sfruttata attivamente contro server MSP.
• Storm-1175 usa AnyDesk, SimpleHelp, Advanced IP Scanner e Mimikatz, quindi passa rapidamente da accesso iniziale a esfiltrazione e cifratura.

Storm-1175, gruppo cybercriminale finanziariamente motivato ritenuto operativo dalla Cina, ha iniziato a distribuire un nuovo ransomware chiamato StormEncryptor, segnando un cambio rispetto alle precedenti campagne basate su Medusa. Microsoft Threat Intelligence ha osservato la nuova attività dal 2 agosto 2026 e considera probabile, ma non definitivamente confermato, che l’accesso iniziale sia avvenuto sfruttando CVE-2026-18577, vulnerabilità di authentication bypass in N-able N-central. Il legame temporale è particolarmente rilevante perché la falla era già stata utilizzata per ottenere accesso amministrativo remoto ai server RMM e raggiungere sistemi gestiti dagli MSP. La nuova campagna mostra quindi come una vulnerabilità su una piattaforma di amministrazione remota possa trasformarsi rapidamente in esfiltrazione dati e ransomware downstream.

StormEncryptor segna il passaggio oltre Medusa

Microsoft attribuisce a Storm-1175 una lunga storia di intrusioni finanziariamente motivate basate sullo sfruttamento aggressivo di vulnerabilità zero-day e n-day. Nelle campagne precedenti il gruppo aveva utilizzato soprattutto Medusa ransomware, trasformando vulnerabilità in prodotti Internet-facing in accessi iniziali capaci di evolvere rapidamente verso l’estorsione. Con StormEncryptor cambia invece il payload finale. Il nuovo ransomware è scritto in C++, aggiunge l’estensione .encrypted ai file colpiti e deposita una ransom note denominata !!!README_FIRST!!!.txt nelle directory sottoposte a cifratura. Microsoft descrive la nuova attività come il primo episodio osservato del gruppo da aprile 2026 e come un vero cambio operativo rispetto all’uso precedente di Medusa. La traiettoria era già emersa quando Storm-1175 veniva collegato a campagne Medusa basate su zero-day e n-day e quando CISA aveva inserito vulnerabilità sfruttate dallo stesso gruppo nel proprio catalogo KEV.

N-central rappresenta il probabile punto di ingresso

Il vettore iniziale non è stato confermato definitivamente da Microsoft, ma l’azienda considera CVE-2026-18577 il candidato più probabile. La vulnerabilità interessa N-able N-central, piattaforma RMM utilizzata dai managed service provider per amministrare infrastrutture e sistemi dei clienti. N-able ha ricostruito un attacco nel quale un soggetto non autenticato otteneva accesso amministrativo remoto al server, utilizzava la funzione Take Control per collegarsi ai dispositivi gestiti e successivamente registrava un servizio Cloudflare Tunnel sugli endpoint compromessi per mantenere persistenza anche dopo la revoca dell’accesso alla console N-central. L’aggiornamento di sicurezza ufficiale di N-able conferma che l’attacco iniziale era stato individuato il 31 luglio e che il primo hotfix non aveva eliminato completamente tutti i percorsi sfruttabili. La vulnerabilità era già stata analizzata su Matrice Digitale quando N-able aveva confermato il takeover amministrativo remoto dei server N-central e quando CISA aveva inserito CVE-2026-18577 nel catalogo KEV.

Il primo hotfix non bastava e N-able ne ha distribuito un secondo

La gestione della falla N-central è diventata particolarmente delicata perché Hotfix 1 non era sufficiente. Il 2 agosto N-able aveva distribuito la build 2026.3.1.7, ma il monitoraggio successivo ha mostrato un percorso di attacco correlato che richiedeva ulteriore hardening. Il 6 agosto è quindi arrivato Hotfix 2, build 2026.3.1.10, che sostituisce completamente la prima correzione e deve essere installato anche dagli amministratori che avevano già applicato l’aggiornamento iniziale. L’avviso ufficiale sul secondo hotfix chiarisce che gli ambienti self-hosted devono passare immediatamente alla nuova build, mentre le istanze hosted hanno ricevuto automaticamente le mitigazioni. Il caso conferma il rischio particolare delle piattaforme RMM già evidenziato quando N-central era stato inserito tra le vulnerabilità enterprise sfruttate attivamente e quando CISA aveva aggiunto anche la vulnerabilità originaria collegata alla catena.

Storm-1175 usa strumenti legittimi prima della cifratura

Dopo l’accesso iniziale, Storm-1175 non passa immediatamente alla cifratura. Microsoft ha osservato l’utilizzo di AnyDesk e SimpleHelp come strumenti di remote monitoring and management, Advanced IP Scanner per la discovery della rete e Mimikatz per il dumping delle credenziali da LSASS. Il modello operativo è quello tipico del ransomware human-operated: l’attaccante sfrutta software legittimo o comunemente disponibile per ridurre la necessità di distribuire payload custom durante le prime fasi, raccoglie informazioni sulla rete e sulle credenziali e prepara la successiva propagazione. Microsoft sottolinea che Storm-1175 tende a muoversi con grande rapidità, passando dall’accesso iniziale all’esfiltrazione dei dati e al deployment del ransomware nell’arco di pochi giorni. La stessa strategia di abuso degli strumenti RMM è già comparsa nelle campagne ransomware che utilizzano software di assistenza remota come primo ponte verso la rete e negli attacchi dove INC ransomware ha trasformato appliance SonicWall compromesse in punti di persistenza.

Storm-1175 sfrutta da anni la finestra tra disclosure e patch

La caratteristica più rilevante attribuita a Storm-1175 è la velocità con cui trasforma nuove vulnerabilità in vettori operativi. Microsoft collega il gruppo allo sfruttamento di falle in Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, Fortinet FortiClient EMS e Fortra GoAnywhere, spesso utilizzate subito dopo la disclosure o, in alcuni casi, prima che la vulnerabilità diventasse pubblicamente nota. La strategia non consiste quindi nell’attendere che una falla diventi ampiamente weaponized: il gruppo cerca il periodo nel quale il vendor ha pubblicato o sta preparando una correzione ma una parte significativa delle organizzazioni non ha ancora aggiornato. È una finestra particolarmente redditizia sui prodotti Internet-facing e sulle piattaforme di amministrazione remota, dove un singolo exploit può offrire accesso privilegiato a numerosi sistemi. Il fenomeno coincide con quanto osservato nel report Cisco Talos 2026, che individua nelle applicazioni pubbliche il principale vettore di accesso iniziale.

N-central aumenta l’effetto moltiplicatore del ransomware

Un server N-central compromesso non equivale a un normale endpoint aziendale. La piattaforma viene utilizzata per amministrare server, workstation e infrastrutture di clienti differenti, spesso con privilegi elevati e con funzioni di controllo remoto già autorizzate. Per questo l’accesso a una singola istanza può produrre una superficie downstream molto più ampia. N-able ha confermato che gli attaccanti osservati hanno utilizzato proprio Take Control per raggiungere i sistemi gestiti e successivamente hanno installato Cloudflared sugli endpoint per mantenere un percorso indipendente dalla console originaria. Questo significa che la bonifica non può fermarsi all’aggiornamento del server RMM: occorre verificare anche i dispositivi amministrati, gli account, i servizi registrati e i collegamenti creati prima dell’applicazione delle patch. Il rischio di propagazione attraverso un fornitore o una piattaforma centrale rientra nella stessa logica di supply chain ICT descritta nella guida DORA dedicata alla gestione del rischio dei fornitori.

Gli indicatori N-able devono essere cercati anche sugli endpoint gestiti

N-able ha pubblicato un custom service template per cercare gli indicatori di compromissione conosciuti sui dispositivi Windows gestiti attraverso N-central. Il vendor avverte però che un risultato pulito non garantisce l’assenza di compromissione, perché lo strumento rileva esclusivamente gli indicatori attualmente noti. Tra gli elementi già segnalati compaiono un file svchost.exe nelle directory Documents degli utenti, la registrazione di un servizio denominato Cloudflared e una serie di indirizzi IP osservati durante gli attacchi. Nell’aggiornamento del 10 agosto N-able raccomanda quindi di affiancare il template a una revisione completa di log, account e attività anomale. È un passaggio importante perché Storm-1175 opera proprio con tempi ridotti: se la persistenza viene stabilita sugli endpoint prima della correzione della console, la patch della vulnerabilità iniziale non elimina automaticamente il percorso già costruito dall’attaccante.

StormEncryptor completa una catena già orientata all’estorsione

Una volta terminata la fase di ricognizione e raccolta delle credenziali, StormEncryptor cifra i file e deposita la propria richiesta di riscatto. La nota concede alle vittime un intervallo limitato per avviare il contatto con gli operatori e minaccia la pubblicazione dei dati sottratti se la trattativa non viene avviata. Il modello conferma quindi una doppia estorsione nella quale la cifratura rappresenta soltanto l’ultima fase di una compromissione iniziata con accesso remoto, discovery, credential dumping ed esfiltrazione. La nuova famiglia non introduce necessariamente un cambio radicale nelle tecniche del gruppo: ciò che cambia è il ransomware utilizzato per monetizzare una catena offensiva già consolidata. La sostituzione di Medusa con StormEncryptor mostra però che gli operatori possono mantenere stabile il modello di intrusione modificando rapidamente il payload finale, come avviene più in generale nell’ecosistema ransomware dove famiglie e brand possono cambiare senza che scompaiano infrastrutture, affiliati o metodologie operative.

L’attribuzione alla Cina non equivale a un’operazione statale

Microsoft descrive Storm-1175 come un threat actor China-based e finanziariamente motivato. Questo elemento deve essere distinto dalle campagne di cyberspionaggio attribuite a gruppi sostenuti direttamente dallo Stato cinese. Le informazioni pubblicate non indicano StormEncryptor come un’operazione governativa di Pechino: il gruppo viene caratterizzato invece attraverso un comportamento tipicamente criminale, orientato all’esfiltrazione, alla cifratura e alla richiesta di riscatto. La distinzione è importante perché il panorama cinese comprende contemporaneamente attori di spionaggio, operatori commerciali, gruppi criminali e possibili sovrapposizioni difficili da dimostrare. Le campagne documentate contro governi e organizzazioni dell’Asia centrale con OctLurk e SilkLurk appartengono per esempio a un modello diverso rispetto alla monetizzazione ransomware di Storm-1175.

Il problema resta la velocità tra exploit e cifratura

La comparsa di StormEncryptor rafforza soprattutto un dato operativo: il tempo disponibile per reagire alle vulnerabilità sfruttate attivamente si sta comprimendo. N-central era già sotto attacco quando N-able ha iniziato a distribuire le correzioni; il primo hotfix ha richiesto un secondo intervento pochi giorni dopo e, nello stesso intervallo, Microsoft ha osservato Storm-1175 utilizzare un nuovo ransomware in campagne potenzialmente collegate alla stessa superficie. Per un MSP o un’organizzazione che gestisce una piattaforma RMM Internet-facing, il ciclo tradizionale di patching settimanale può quindi essere troppo lento. Serve trattare vulnerabilità come CVE-2026-18577 come incidenti di sicurezza già in corso: aggiornare immediatamente, cercare persistenza sugli endpoint, revisionare credenziali e account amministrativi, analizzare l’uso di strumenti RMM e verificare ogni connessione Cloudflare Tunnel anomala. StormEncryptor non rappresenta soltanto una nuova famiglia ransomware. È la dimostrazione di quanto velocemente una falla in un sistema di gestione centralizzata possa diventare il punto di partenza per un’estorsione distribuita.