Wprowadzenie do problemu / definicja
Microsoft poinformował o istotnej zmianie w działaniach grupy Storm-1175, czyli aktora powiązanego z Chinami i nastawionego na zysk finansowy. Zamiast wcześniej obserwowanego ransomware Medusa operator zaczął wdrażać własny wariant nazwany StormEncryptor, co wskazuje na rozwój zaplecza technicznego i większą niezależność operacyjną.
Dla obrońców to ważny sygnał, ponieważ zmiana rodziny ransomware nie jest wyłącznie kosmetyczna. Oznacza ona, że grupa może szybciej dostosowywać narzędzia do konkretnych kampanii i skuteczniej skracać czas od uzyskania dostępu do środowiska ofiary do szyfrowania danych oraz wymuszenia okupu.
W skrócie
Storm-1175 zastąpił Medusę nowym ransomware StormEncryptor, napisanym w C++. Malware szyfruje pliki, dodaje rozszerzenie „.encrypted” i pozostawia notę okupu „!!!README_FIRST!!!.txt” w przeszukiwanych katalogach.
- grupa koncentruje się na szybko ujawnionych i niezałatanych podatnościach w systemach wystawionych do internetu,
- czas od uzyskania dostępu do eksfiltracji danych i szyfrowania może wynosić mniej niż 24 godziny,
- w kampaniach pojawiają się legalne narzędzia administracyjne i RMM, które utrudniają wykrywanie,
- celem są organizacje posiadające infrastrukturę brzegową, narzędzia zdalnego wsparcia, pocztę, VPN oraz systemy MFT.
Kontekst / historia
Storm-1175 jest przez Microsoft klasyfikowany jako rozwijający się klaster aktywności o motywacji finansowej. Grupa zwróciła uwagę analityków dzięki bardzo szybkiemu wykorzystywaniu świeżo ujawnionych podatności typu N-day w usługach dostępnych publicznie.
W poprzednich kampaniach atakujący mieli wykorzystywać luki w rozwiązaniach takich jak Microsoft Exchange, PaperCut, Ivanti Connect Secure, ConnectWise ScreenConnect, JetBrains TeamCity, SimpleHelp, CrushFTP, GoAnywhere MFT oraz SmarterMail. Wcześniejsze obserwacje wskazywały również na zainteresowanie sektorami ochrony zdrowia, edukacji, finansów i usług, głównie w Stanach Zjednoczonych, Wielkiej Brytanii i Australii.
Przejście z Medusy na StormEncryptor pokazuje dojrzewanie operacji ransomware tej grupy. Z punktu widzenia bezpieczeństwa oznacza to, że organizacje nie mogą ograniczać się do wykrywania znanych rodzin malware, lecz muszą przygotować się także na autorskie warianty tworzone przez operatorów zagrożeń.
Analiza techniczna
StormEncryptor został opisany jako ransomware napisany w C++. Po uruchomieniu szyfruje pliki ofiary, dopisuje do nich rozszerzenie „.encrypted” i pozostawia notę „!!!README_FIRST!!!.txt” w każdym skanowanym katalogu. Sama zmiana ładunku szyfrującego nie oznacza jednak zmiany całego łańcucha ataku — kluczowe pozostaje tempo działania i dobór wektora wejścia.
Storm-1175 koncentruje się na systemach publicznie dostępnych, które nie zostały jeszcze załatane po ujawnieniu podatności. W najnowszych obserwacjach Microsoft wskazał prawdopodobne wykorzystanie luki CVE-2026-18577, związanej z obejściem uwierzytelnienia w rozwiązaniu N-able. Podatność została ujawniona 2 sierpnia 2026 r., a dzień później trafiła do katalogu Known Exploited Vulnerabilities prowadzonego przez CISA, co dobrze wpisuje się w charakterystyczny model szybkiej operacjonalizacji nowych wektorów ataku.
Po uzyskaniu dostępu grupa przechodzi do utrwalania obecności i eskalacji uprawnień. W analizowanych kampaniach pojawiały się web shele, nowe konta administracyjne oraz legalne narzędzia zdalnego dostępu. Na etapach rozpoznania i ruchu lateralnego wykorzystywano m.in. PowerShell, PsExec, RDP, Advanced IP Scanner, tunele Cloudflare, Impacket oraz PDQ Deployer. Do pozyskiwania poświadczeń stosowany był również Mimikatz, w tym do dumpowania pamięci procesu LSASS.
Istotne jest także to, że aktywność Storm-1175 nie ogranicza się wyłącznie do środowisk Windows. Microsoft raportował również działania przeciw systemom Linux oraz przypadki łączenia wielu exploitów w celu przejścia od początkowego dostępu do szerszej kompromitacji środowiska.
Konsekwencje / ryzyko
Największym zagrożeniem związanym z działalnością Storm-1175 jest skrajnie krótkie okno reakcji dla zespołów bezpieczeństwa. Jeśli atakujący potrafią przejść od wykorzystania świeżo ujawnionej luki do eksfiltracji i szyfrowania w ciągu jednego dnia, tradycyjne procesy patch managementu mogą być niewystarczające.
Ryzyko nie kończy się na niedostępności danych. Współczesne operacje ransomware coraz częściej obejmują także kradzież informacji przed szyfrowaniem, co zwiększa presję na ofiarę i prowadzi do naruszenia poufności, obowiązków regulacyjnych, przestojów operacyjnych oraz wysokich kosztów obsługi incydentu.
Dodatkowym problemem jest nadużywanie legalnych narzędzi administracyjnych. Ich obecność w środowisku może przypominać zwykłą aktywność administratorów, przez co wykrycie anomalii wymaga lepszej telemetrii, korelacji zdarzeń i dokładniejszego profilowania zachowań.
Rekomendacje
Priorytetem dla organizacji powinno być skrócenie czasu od ujawnienia podatności do wdrożenia poprawek lub środków kompensujących. Szczególną ochroną należy objąć systemy brzegowe oraz usługi dostępne z internetu, ponieważ to one najczęściej stają się punktem wejścia dla operatorów ransomware.
- prowadzić ciągły monitoring podatności w usługach publicznie dostępnych,
- priorytetyzować łatanie luk aktywnie wykorzystywanych, zwłaszcza wpisanych do katalogu KEV,
- ograniczać dostęp do narzędzi RMM i zdalnego wsparcia wyłącznie do zaufanych adresów oraz wymuszać MFA,
- monitorować tworzenie nowych kont uprzywilejowanych i nietypowe użycie PowerShell, PsExec, RDP oraz tuneli sieciowych,
- wdrożyć detekcję prób dostępu do LSASS oraz użycia narzędzi do kradzieży poświadczeń,
- segmentować sieć i ograniczać możliwość ruchu lateralnego między strefami,
- regularnie testować odtwarzanie z kopii zapasowych i odseparować backupy od środowiska produkcyjnego,
- prowadzić threat hunting pod kątem web sheli, narzędzi administracyjnych i artefaktów persistence.
Z perspektywy SOC szczególnie istotne jest łączenie sygnałów z wielu źródeł: exploitacji podatności na usługach internetowych, nietypowych logowań administracyjnych, aktywności RMM, skanowania sieci oraz nagłych wzrostów operacji na plikach. To właśnie taki zestaw pozornie legalnych działań często zdradza rozwijający się incydent ransomware.
Podsumowanie
Przejście Storm-1175 z Medusy na StormEncryptor pokazuje, że grupa rozwija własny arsenał i utrzymuje bardzo wysokie tempo operacyjne. Najważniejszym elementem zagrożenia nie jest wyłącznie nowa rodzina ransomware, lecz cały model działania oparty na błyskawicznym wykorzystywaniu nowych luk, nadużywaniu legalnych narzędzi administracyjnych oraz szybkim przechodzeniu do eksfiltracji i szyfrowania danych.
Dla obrońców oznacza to konieczność skrócenia czasu reakcji, lepszej widoczności infrastruktury brzegowej oraz bardziej agresywnej priorytetyzacji poprawek. Organizacje, które nadal działają według wolnych cykli aktualizacji i ograniczonego monitoringu aktywności administracyjnej, pozostają szczególnie narażone na tego typu kampanie.
Źródła
- Security Affairs – Storm-1175 Replaces Medusa With New StormEncryptor Ransomware — https://securityaffairs.com/197119/malware/storm-1175-replaces-medusa-with-new-stormencryptor-ransomware.html
- Microsoft Learn – How Microsoft names threat actors — https://learn.microsoft.com/en-us/unified-secops/microsoft-threat-actor-naming
- Microsoft Source LATAM – Storm-1175 centra la atención en activos vulnerables que se conectan a la web en operaciones de ransomware Medusa de alta velocidad — https://news.microsoft.com/source/latam/noticias-de-microsoft/storm-1175-centra-la-atencion-en-activos-vulnerables-que-se-conectan-a-la-web-en-operaciones-de-ransomware-medusa-de-alta-velocidad/
- CISA – Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog?page=0