Nhóm Storm-1175 triển khai ransomware StormEncryptor qua lỗ hổng N-central
"Microsoft reported that China-linked threat actor Storm-1175 deployed a previously undocumented ransomware strain, StormEncryptor, which appends the .encrypted extension and drops a !!!README_FIRST!!!.txt ransom note. The campaign likely leveraged CVE-2026-18577 in N-able N-central, a patch-bypass flaw related to CVE-2026-18556 that can enable authentication bypass and account takeover; Microsoft urged rapid patching as the group also used tools like AnyDesk, SimpleHelp, Advanced IP Scanner, and Mimikatz during post-compromise activity."
Rủi ro cao do ransomware mới, khả năng chiếm quyền tài khoản và dấu hiệu khai thác đang diễn ra trên hệ thống bị ảnh hưởng.
Có thể gây gián đoạn vận hành, mất dữ liệu và tăng chi phí ứng phó nếu hệ thống N-central hoặc dịch vụ liên quan chưa được vá kịp thời.
Microsoft cho biết tác nhân đe dọa liên kết với Trung Quốc là Storm-1175 đã sử dụng một biến thể ransomware mới chưa từng được ghi nhận, StormEncryptor. Mã độc này viết bằng C++, đổi đuôi tệp thành .encrypted và thả ghi chú đòi tiền chuộc !!!README_FIRST!!!.txt trong các thư mục đã quét.
Theo đánh giá ban đầu, chiến dịch nhiều khả năng liên quan đến CVE-2026-18577 trong N-able N-central. Lỗ hổng này được xem là patch bypass của CVE-2026-18556, có thể dẫn đến authentication bypass và account takeover trên các phiên bản bị ảnh hưởng. CISA cũng đã xếp các lỗi này vào nhóm đang bị khai thác ngoài thực tế.
Microsoft cho biết Storm-1175 thường tận dụng kết hợp zero-day và N-day vulnerabilities để xâm nhập nhanh vào các hệ thống internet-facing. Sau khi vào được môi trường nạn nhân, nhóm này có thể dùng AnyDesk, SimpleHelp, Advanced IP Scanner và Mimikatz cho hoạt động trinh sát, điều khiển từ xa và trích xuất thông tin từ LSASS.
Khuyến nghị: ưu tiên vá lỗi ngay khi có bản cập nhật, rà soát dấu hiệu sử dụng công cụ quản trị từ xa bất thường, và kiểm tra nhật ký để phát hiện sớm hành vi exfiltration hoặc triển khai ransomware trong vài ngày sau khi bị xâm nhập.