LONDON (IT BOLTWISE) – Microsoft warnt vor einer neuen, bislang unbekannten Ransomware-Variante namens StormEncryptor, die einem China-gebundenen Bedrohungsakteur zugeordnet wird. Die Schadsoftware ist in C++ geschrieben und hängt beim Dateiverschlüsseln die Endung.encrypted an; zusätzlich legt sie eine Lösegeldnotiz mit!!!README_FIRST!!!.txt ab. Für den Einstieg nennt Microsoft als wahrscheinlich den Missbrauch einer Sicherheitslücke in N-able N-central, die womöglich Patches für verwandte Fehler umgeht. Besonders kritisch: Nach dem ersten Zugriff beobachtet Microsoft eine schnelle Kette aus Tool-Missbrauch, Discovery, Credential-Dumping und schließlich Datenabfluss sowie Verschlüsselung.
Mit StormEncryptor rückt eine neue Ransomware-Variante in den Fokus, weil sie nach derzeitigem Stand nicht nur eine weitere Malware-Familie ist, sondern eine veränderte Angriffslogik widerspiegelt. Microsoft ordnet den Bedrohungsakteur Storm-1175 einem finanziell motivierten, China-gebundenen Akteur zu und beschreibt, dass dieser erstmals eine bislang undokumentierte Ransomware-Strain einsetzt, statt wie zuvor überwiegend auf Medusa zu setzen. Für IT-Leiter ist dabei weniger die Namensgebung entscheidend als die konkrete Arbeitsweise: StormEncryptor ist in C++ implementiert, verschlüsselt Dateien und hängt die Endung.encrypted an; anschließend wird in jedem gescannten Verzeichnis eine Lösegeldnotiz namens!!!README_FIRST!!!.txt abgelegt. Das Muster ist typisch für hochautomatisierte Kampagnen, bei denen innerhalb kurzer Zeit viele Dateien bearbeitet und gleichzeitig klare Hinweise für den späteren Lösegeldprozess bereitgestellt werden.
Technisch betrachtet macht Microsoft vor allem den Einstiegspfad angreifbar: Obwohl die exakt ausgenutzte Schwachstelle in der Kampagne noch unklar sei, hält der Konzern als wahrscheinlich den Missbrauch von CVE-2026-18577 für N-able N-central für möglich. In der Bewertung heißt es zugleich, dass diese Lücke als Patch-Bypass für CVE-2026-18556 eingeordnet wird. Beide Schwachstellen ermöglichen demnach einen Authentifizierungsumgehungs- und Account-Takeover-Weg in betroffenen Versionen – ein besonders gefährliches Zusammenspiel, weil so Systeme kompromittiert werden können, die zwar „gepatched“ wirken, aber durch die Umgehung dennoch nicht wirklich abgesichert sind. Dass Microsoft die betroffenen CVEs als bereits „actively exploited in the wild“ einordnet, verschiebt die Priorität deutlich: Es geht nicht um abstrakte Schwachstellenhygiene, sondern um eine akute Lage, in der verbleibende Lücken auch nach Patch-Fenstern noch ausgenutzt werden können.
Der Kontext zur Angreiferhistorie liefert zusätzliche Hinweise auf die Angriffsreife. Storm-1175 wird laut Microsoft als Akteur beschrieben, der bereits mehrfach Medusa-Ransomware nach dem Ausnutzen von Schwachstellen in weit verbreiteten Produkten ausgerollt hat. Dazu nennt Microsoft beispielsweise CVE-2023-37679 und CVE-2023-43208 im Umfeld von Mirth Connect, CVE-2024-1709 und CVE-2024-1708 bei ConnectWise ScreenConnect sowie CVE-2024-27198 und CVE-2024-27199 in JetBrains TeamCity. Auch FortiClient EMS mit CVE-2023-48788 taucht in der Rückschau auf. In einer Analyse aus Oktober 2025 ordnete Microsoft den Akteur außerdem dem Ausnutzen der kritischen Lücke CVE-2025-10035 in Fortra GoAnywhere zu, um Medusa zu ermöglichen. Für Security-Teams ist diese Historie vor allem ein Risikosignal: Wenn derselbe Cluster wiederholt über unterschiedliche Einstiegslücken in Systeme eindringt, dann ist die eigentliche Verteidigungslinie meist die schnelle Detektion der Folgeaktivitäten und die konsequente Reduktion der Angriffsoberfläche für Internet-Exposed Services.
Welche Schritte nach dem Kompromittierungszeitpunkt besonders relevant sind, beschreibt Microsoft ebenfalls. Für die Post-Compromise-Phase nennt der Konzern den Missbrauch von Remote-Monitoring- und -Management-Tools wie AnyDesk oder SimpleHelp, ergänzt durch Advanced IP Scanner zur Systementdeckung. Hinzu kommt das Discovery- und Lateral-Movement-Vorgehen über zusätzliche Werkzeuge, bevor es zur Credential- und Prozess-Ebene geht: Microsoft erwähnt dabei das Dumping von LSASS mithilfe von Mimikatz. Dieses Zusammenspiel – Fernwartungstools für operative Präsenz, Netzwerk-Scanner für das Auffinden weiterer Ziele und Credential-Dumping für den Zugriff auf Identitäten oder Secrets – erklärt auch, warum der „Zeitfaktor“ in den letzten Jahren so stark in den Mittelpunkt gerückt ist. Der Konzern beschreibt außerdem, dass Storm-1175 häufig sehr schnell von initialem Zugriff zu Datenexfiltration und anschließend zur Ransomware-Bereitstellung wechselt, oft innerhalb weniger Tage. Damit wird die Patch-Strategie nicht zu einem rein IT-internen Wartungsthema, sondern zu einem Bestandteil der Incident-Response-Vorbereitung.
Auch auf der Markt- und Betreiberseite wirkt das wie ein Weckruf: Sobald CISA Schwachstellen als aktiv ausgenutzt in der Wildnis markiert, reichen typische „wir patchen irgendwann“-Taktiken nicht mehr. In der Praxis führt das zu zwei parallelen Aufgabensträngen. Erstens müssen Betreiber N-able N-central in den betroffenen Versionen umgehend gegen die bekannten CVE-Ketten absichern – wobei der Hinweis auf einen möglichen Patch-Bypass die Validierung nach dem Patch kritisch macht, also etwa durch das Prüfen der tatsächlichen Kompatibilität, Konfiguration und ggf. zusätzlicher Schutzmaßnahmen. Zweitens sollten Logs, Telemetriedaten und Netzwerk-Events so vorbereitet werden, dass die späteren Schritte erkennbar sind: Auffällige Remote-Tool-Einsätze, ungewöhnliche Discovery-Verbindungen sowie LSASS-bezogene Aktivitäten mit entsprechender Tool-Nutzung sind Indikatoren, die sich in vielen Umgebungen mit vorhandenen Agenten, Sysmon-Regeln oder SIEM-Korrelationen früher als der reine Verschlüsselungsalarm abbilden lassen.
Für die strategische Planung bedeutet die Meldung vor allem eines: Unternehmen sollten den Fokus stärker vom Einzelfix auf die Angriffssequenz verlagern. Wenn derselbe Bedrohungsakteur mit hoher Geschwindigkeit arbeitet und dabei sowohl Initial-Access-Wege als auch Post-Exploitation-Werkzeuge variiert, lohnt sich eine Sicherheitsarchitektur, die „Frühwarnungen“ unterstützt – also bevor Datenexfiltration und Verschlüsselung starten. Gleichzeitig zeigt der Fall, dass der Patch-Zyklus nicht nur die Bereitstellung von Updates umfasst, sondern auch die Absicherung gegen Umgehungsmechanismen wie im Zusammenhang mit CVE-2026-18577 und CVE-2026-18556 beschrieben. In diesem Umfeld wird KI zwar häufig als Automations- oder Erkennungsbaustein diskutiert, doch der konkrete Nutzen entsteht erst, wenn KI-gestützte Analysen auf verwertbare Telemetrie zugreifen können und organisatorisch klar ist, wer im Ernstfall welche Entscheidungen trifft. StormEncryptor macht damit weniger ein neues „KI-Feature“ als vielmehr die praktische Realität schnell eskalierender Ransomware-Angriffe sichtbar.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "StormEncryptor-Ransomware: Microsoft warnt vor N-able-N-central-Umgehung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "StormEncryptor-Ransomware: Microsoft warnt vor N-able-N-central-Umgehung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »StormEncryptor-Ransomware: Microsoft warnt vor N-able-N-central-Umgehung« bei Google Deutschland suchen, bei Bing oder Google News!