Ex-afiliado do Medusa Ransomware lança nova ameaça: StormEncryptor

O ator de ameaças Storm-1175, um ex-afiliado do grupo Medusa Ransomware, está agora por trás de uma nova onda de ataques utilizando o ransomware StormEncryptor. Este novo malware, desenvolvido em C++, criptografa arquivos com a extensão “.encrypted” e deixa uma nota de resgate com um prazo de três dias antes da exfiltração e vazamento de dados. A Microsoft Threat Intelligence rastreia este ator financeiramente motivado, que agora explora vulnerabilidades como a CVE-2026-18577, presente no software N-Central RMM, para obter acesso inicial.

Após o acesso, o Storm-1175 opera com velocidade e precisão. Ele utiliza ferramentas como AnyDesk e SimpleHelp para estabelecer controle remoto, Advanced IP Scanner para mapeamento detalhado da rede e Mimikatz para roubar credenciais do serviço LSASS. A agilidade do grupo, que consegue ir do acesso inicial ao roubo de dados e à implantação do ransomware em poucos dias, ressalta a importância de uma resposta rápida e de patcheamento de vulnerabilidades. A N-able já lançou um hotfix (2026.3 HF1/build 2026.3.1.7) em 2 de agosto de 2026 para a vulnerabilidade CVE-2026-18577.

Esta é a primeira atividade observada do Storm-1175 pela Microsoft Threat Intelligence desde abril de 2026, e representa uma mudança significativa: o ator, que antes era conhecido por usar o ransomware Medusa, agora opera com o StormEncryptor. Essa transição indica uma evolução nas táticas e ferramentas empregadas, embora a motivação financeira e o modus operandi de exploração de vulnerabilidades, incluindo falhas N-day e zero-day, permaneçam. A mudança para um novo ransomware em C++ pode refletir a busca por maior eficácia ou capacidade de evasão em suas operações.

A emergência do StormEncryptor, impulsionado por um ator experiente como o Storm-1175, destaca a constante adaptação no cenário de ciberameaças. Para as organizações, a exploração de vulnerabilidades em softwares de gerenciamento remoto, como o N-Central RMM, é um alerta crítico sobre a necessidade de manter sistemas atualizados. A velocidade do ataque exige que administradores de sistemas apliquem patcheamento imediato e reforcem o monitoramento. A capacidade de mover-se rapidamente do acesso inicial à exfiltração de dados e à criptografia transforma a prevenção e a detecção precoce em prioridades absolutas para proteger ativos digitais.