LONDON (IT BOLTWISE) – Microsoft Threat Intelligence warnt vor einer neuen Ransomware-Kampagne der Gruppe Storm-1175, die den Verschlüsseler StormEncryptor in Unternehmensnetzwerken verteilt. Auslöser ist die im August 2026 bekannt gewordene N-able-Sicherheitslücke CVE-2026-18577, die bereits am Folgetag in den CISA-Katalog für aktiv ausgenutzte Schwachstellen aufgenommen wurde. Microsoft beobachtet die Aktivitäten seit dem 02.08.2026 und beschreibt einen schnellen Ablauf von der Kompromittierung bis zur vollständigen Verschlüsselung. Entscheidend sind jetzt Patch-Management, Kontrolle der Fernwartungswege und eine schnelle Isolation betroffener Systeme.
Die aktuelle Bedrohung dreht sich weniger um ein einzelnes Schadcode-Update als um die Kombination aus einer frisch bekannt gewordenen Schwachstelle und einem bereits erprobten „Angriffspaket“ aus Tools, Zugriffswegen und Erpressungslogik. Laut Microsoft Threat Intelligence identifizierte die Gruppe Storm-1175 eine zielgerichtete Kampagne, in deren Zentrum der Verschlüsseler StormEncryptor steht. Bemerkenswert ist dabei vor allem der Zeitpunkt: Microsoft verortet den aktiven Einsatz seit dem 02.08.2026, und nach einer Phase geringerer Aktivität markiert dies wieder eine klar dokumentierte Operation der Gruppe.
Den technischen Startpunkt liefern Angreifer über die N-able-Umgebungen: Als zentrales Element nennen die Analysen die Ausnutzung der Sicherheitslücke CVE-2026-18577. Die Schwachstelle wurde am 02.08.2026 offiziell veröffentlicht; aufgrund der hohen Relevanz und des aktiven Missbrauchs tauchte sie bereits am 03.08.2026 in der Liste bekannter ausgenutzter Schwachstellen der US-Behörde CISA auf. Für Unternehmen bedeutet das in der Praxis, dass „abwarten bis der Patch im normalen Wartungsfenster landet“ riskant wird, weil der Zeitvorteil der Angreifer häufig genau in dieser frühen Phase entsteht.
Für die Identifikation im Incident-Response-Prozess nennt Microsoft konkrete Malware-Details: StormEncryptor wird als Ransom: Win64/StormEncryptor geführt. Zusätzlich ordnen die Sicherheitsforscher einen SHA-256-Hash zu, nämlich c19ded65e822bb43ad0381c58abf33b7c8890f7bcc7125058a0c849c7e1a6054, der als technischer Abgleich für Logs, Telemetriedaten und Datei-Hashes dienen kann. Sobald die Ransomware einen Rechner übernommen hat, verschlüsselt sie gespeicherte Daten und hängt der Datei eine neue Endung an, in diesem Fall.encrypted. Zur Erpressung verwenden die Angreifer zudem eine Textdatei als Nachricht mit dem Namen!!!README_FIRST!!!.txt, die auf dem betroffenen System abgelegt wird.
Auch die operative Geschwindigkeit sticht hervor, denn Microsoft beschreibt für die Kette vom initialen Zugriff bis zum vollständigen Datendiebstahl und zur anschließenden Verschlüsselung häufig nur etwa 24 Stunden. Gerade diese Größenordnung ist für IT-Sicherheitsverantwortliche unbequem, weil viele Reaktionspläne implizit von langsameren „Kill Chain“-Phasen ausgehen. Dazu passt, dass die Gruppe laut Analyse nicht bei reiner Ausnutzung der Schwachstelle stehenbleibt, sondern eine Kombination aus legitimen Administrationswerkzeugen und spezialisierter Angriffssoftware einsetzt, um sich im Netzwerk zu bewegen und Berechtigungen auszubauen.
Als Werkzeuge für Fernzugriff und Steuerung innerhalb der Netze werden mehrere Remote-Monitoring- und -Management-Ansätze genannt, darunter Atera, Level RMM und N-able sowie ConnectWise ScreenConnect. Daneben führt Microsoft auch Beispiele für Remote-Desktop-Software auf, etwa AnyDesk und SimpleHelp, sowie weitere Tools wie DWAgent und MeshAgent. Diese Mischung ist strategisch, weil sie sich in vielen Umgebungen mit legitimen Admin-Workflows überlagert und dadurch die Erkennung im Live-Betrieb erschwert. Für die Vorbereitung der Verschlüsselung und die Ausweitung der Rechte setzen die Angreifer außerdem auf den Advanced IP Scanner zur Netzwerkanalyse.
Um an Zugangsdaten zu gelangen, beschreibt Microsoft den Einsatz von Mimikatz für sogenannte LSASS-Dumps, also das Auslesen von Passwörtern aus dem Arbeitsspeicher. Das ist technisch relevant, weil es deutlich macht, dass hier nicht nur „über die Oberfläche“ gearbeitet wird, sondern dass die Angreifer typischerweise versuchen, Credential-Material direkt aus dem Prozesskontext zu gewinnen. Aus Sicht der Verteidigung verschiebt sich damit der Fokus: Patchen bleibt zentral, aber gleichzeitig müssen Schutzmechanismen greifen, die den Zugriff auf hochsensible Speicherbereiche erschweren und verdächtige Tool-Nutzung sichtbar machen. Im selben Atemzug nennt Microsoft als Vorgehensrahmen das schnelle Schließen der genannten N-able-Schwachstelle über verfügbare Patches.
Für die unmittelbare Handlungsfähigkeit empfehlen die Sicherheitsanalysten, die Nutzung von Fernwartungswerkzeugen und RMM-Tools im Netzwerk stärker zu überwachen, um unbefugte Aktivitäten früh zu erkennen. Wenn bereits eine Kompromittierung vorliegt, steht außerdem die schnelle Isolation betroffener Systeme im Vordergrund, damit sich die Ransomware nicht weiter ausbreiten kann. Als zusätzliche Basiselemente der Absicherung werden robuste Identitätsschutzlösungen genannt sowie isolierte Backups, die die Wiederherstellungsfähigkeit im Ernstfall realistisch machen. In Summe zeigt die Kampagne, dass selbst ohne „neue“ Infrastruktur Angriffsflächen schnell reduziert werden können, wenn Patch-Management, Sichtbarkeit in Remote-Wegen und Backup-Disziplin als zusammenhängendes Paket umgesetzt werden.
Für das Management hinter den IT-Teams ist die wichtigste Lehre, dass Zeit hier zum Schadensfaktor wird: CVE-2026-18577 war innerhalb von 24 Stunden als aktiv ausgenutzt markiert, während Microsoft den operativen Einsatz seit dem 02.08.2026 beobachtet. Das heißt nicht, dass jede Organisation identisch betroffen sein muss, aber es erhöht den Druck, Assets systematisch nach „N-able-Nutzung“ und Exposition gegenüber der betroffenen Komponente zu priorisieren. Richtig umgesetzt, reduziert das die Wahrscheinlichkeit, dass ein einzelner Schwachstellenpfad in eine schnell drehende Verschlüsselungskette mündet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "StormEncryptor-Ransomware: N-able-Lücke CVE-2026-18577 wird aktiv ausgenutzt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "StormEncryptor-Ransomware: N-able-Lücke CVE-2026-18577 wird aktiv ausgenutzt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »StormEncryptor-Ransomware: N-able-Lücke CVE-2026-18577 wird aktiv ausgenutzt« bei Google Deutschland suchen, bei Bing oder Google News!