O ransomware StormEncryptor surge como uma nova ameaça associada ao grupo Storm-1175, conhecido por operações rápidas de ransomware e anteriormente ligado à infraestrutura do Medusa. A mudança chama atenção porque o grupo tem histórico de explorar vulnerabilidades em sistemas expostos à internet e transformar acesso inicial em roubo de dados e criptografia em questão de dias, ou até menos.
O cenário se torna ainda mais preocupante com a possível exploração da vulnerabilidade CVE-2026-18577, uma falha crítica de bypass de autenticação no N-able N-central, plataforma de gerenciamento e monitoramento remoto amplamente utilizada por MSPs. Como uma ferramenta RMM possui acesso privilegiado a diversos endpoints, sua comprometimento pode funcionar como uma ponte para toda a infraestrutura administrada.
Para administradores, profissionais de segurança e equipes DevSecOps, a prioridade agora é verificar versões do N-central, investigar indicadores de comprometimento e revisar atividades administrativas anômalas. A combinação entre RMM comprometido, roubo de credenciais e ransomware reduz drasticamente o tempo disponível para reação.
O que é o ransomware StormEncryptor e quem está por trás dele
O Storm-1175 é um grupo cibercriminoso financeiramente motivado que a Microsoft acompanha por sua atuação em campanhas de ransomware de alta velocidade. Até recentemente, suas operações estavam fortemente associadas ao Medusa, modelo de ransomware-as-a-service que utiliza dupla extorsão: os dados são roubados antes da criptografia e posteriormente usados como instrumento de pressão contra a vítima.
A aparição do StormEncryptor representa uma possível mudança operacional. Em vez de depender diretamente do criptografador do Medusa, o grupo estaria utilizando uma variante própria desenvolvida em C++, capaz de criptografar arquivos e marcar o resultado com a extensão .encrypted.
A atribuição deve, porém, ser tratada com cautela enquanto novas evidências técnicas são publicadas. O histórico do Storm-1175 ajuda a contextualizar a ameaça, mas indicadores específicos de uma campanha precisam ser validados pelas equipes de resposta a incidentes antes de conclusões definitivas.
Imagem: Microsoft
Como o malware StormEncryptor age no sistema
Durante a execução, o malware StormEncryptor procura arquivos que possam ser criptografados e acrescenta a extensão .encrypted aos dados afetados. A operação também estaria acompanhada da criação de uma nota de resgate denominada README_FIRST.txt, utilizada para apresentar as instruções de extorsão à vítima.
O modelo segue a lógica conhecida de ataques de dupla extorsão. O invasor busca primeiro obter acesso aos dados relevantes, exfiltrá-los e, posteriormente, bloquear o acesso aos arquivos por meio da criptografia.
Relatos sobre a nova campanha indicam ainda uma janela de aproximadamente três dias para negociação antes de uma possível ameaça de divulgação dos dados roubados. Esse mecanismo aumenta a pressão sobre equipes de TI, que precisam simultaneamente conter o incidente, preservar evidências e restaurar serviços críticos.
O comportamento reforça uma característica já observada no Storm-1175: velocidade operacional. A Microsoft documentou casos nos quais o grupo passou da exploração inicial para movimentação lateral, exfiltração e implantação do ransomware em poucos dias, chegando a aproximadamente 24 horas em determinados incidentes.
Ferramentas utilizadas na invasão
Outro aspecto importante é a utilização de ferramentas legítimas. O Storm-1175 já foi observado abusando de soluções de RMM e acesso remoto, incluindo AnyDesk e SimpleHelp, para persistência, movimentação lateral e execução de cargas maliciosas.
Na campanha associada ao StormEncryptor, também aparecem referências ao Advanced IP Scanner, usado para reconhecimento da rede, e ao Mimikatz, ferramenta conhecida por técnicas de extração de credenciais.
O uso de softwares legítimos dificulta a detecção baseada exclusivamente em nomes de processos ou assinaturas. Um administrador pode enxergar uma ferramenta conhecida sendo executada e não perceber que ela está sendo utilizada por um invasor com privilégios administrativos.
O Mimikatz merece atenção especial porque pode ser empregado para obter credenciais a partir do processo LSASS, ampliando rapidamente o alcance do ataque. A Microsoft já identificou o uso de técnicas de roubo de credenciais pelo Storm-1175 em campanhas anteriores.
A vulnerabilidade CVE-2026-18577 no N-central como porta de entrada
A CVE-2026-18577 afeta o N-able N-central e permite um bypass de autenticação que pode conceder acesso administrativo extremamente elevado à plataforma. A falha surgiu após uma correção anterior, relacionada à CVE-2026-18556, não eliminar completamente o problema.
O risco é particularmente elevado porque o N-central não é apenas um servidor convencional. Ele funciona como uma camada de administração sobre diversos ambientes de clientes.
Com o RMM comprometido, um invasor pode potencialmente executar scripts, distribuir ferramentas e abrir sessões remotas nos endpoints administrados. Isso transforma uma vulnerabilidade aparentemente localizada em uma ameaça capaz de alcançar múltiplas máquinas e, dependendo da arquitetura do ambiente, diferentes organizações.
Essa característica explica por que falhas em ferramentas RMM são tão valiosas para grupos de ransomware. O atacante não precisa necessariamente comprometer cada estação individualmente: basta obter controle sobre uma plataforma que já possui confiança e privilégios distribuídos.
O próprio histórico do Storm-1175 demonstra essa estratégia. A Microsoft descreve o grupo como um ator que procura sistemas expostos e vulneráveis e, depois da invasão, utiliza ferramentas de gerenciamento remoto, criação de contas administrativas, roubo de credenciais e mecanismos de distribuição de software para avançar pela rede.
Como proteger sua infraestrutura e identificar sinais de comprometimento
A primeira medida é corrigir imediatamente o N-central. A N-able disponibilizou o N-central 2026.3 Hotfix 1, identificado como build 2026.3.1.7, para mitigar a CVE-2026-18577. Instâncias hospedadas receberam medidas de proteção pela própria N-able, enquanto ambientes locais precisam receber atenção direta dos administradores.
Entretanto, apenas instalar o hotfix não deve ser considerado suficiente se houver suspeita de exploração anterior. A existência de acesso não autorizado pode significar que credenciais, contas administrativas ou endpoints já foram comprometidos.
Entre as principais ações estão:
- Atualizar imediatamente o N-central para uma versão corrigida.
- Restringir a exposição do servidor RMM a redes e endereços confiáveis.
- Revisar contas administrativas criadas recentemente.
- Investigar sessões remotas inesperadas e implantações de software não autorizadas.
- Verificar logs do N-central em busca de autenticações ou alterações administrativas anômalas.
- Revisar credenciais privilegiadas, especialmente se houver evidências de acesso ao ambiente.
- Monitorar ferramentas RMM legítimas, como AnyDesk e SimpleHelp, quando não fazem parte da rotina autorizada.
- Preservar evidências antes de remover arquivos ou reconstruir sistemas potencialmente comprometidos.
Indicadores de comprometimento
Os administradores também devem procurar sinais específicos associados à exploração observada. Entre os indicadores divulgados para a campanha estão arquivos com comportamento suspeito, incluindo um svchost.exe localizado na pasta Documents, algo que merece investigação porque foge do caminho normalmente esperado para esse processo legítimo.
Outro indicador relevante é a presença de um serviço chamado Cloudflared instalado inesperadamente. Túneis baseados em Cloudflare Tunnel podem ser abusados para criar canais de acesso remoto que contornam controles tradicionais de entrada. Relatos de investigação sobre o incidente também apontam esse tipo de comportamento após o comprometimento do N-central.
Equipes de segurança devem ainda procurar conexões de rede para endereços IP não autorizados, novos serviços, execução inesperada de ferramentas administrativas e alterações massivas de arquivos com a extensão .encrypted.
A detecção de README_FIRST.txt, especialmente acompanhada por grandes quantidades de arquivos renomeados, deve ser tratada como possível evidência de atividade de ransomware. Da mesma forma, processos relacionados a Mimikatz, despejo de memória do LSASS, scanners de rede ou softwares RMM não autorizados justificam investigação imediata.
Por que administradores de MSPs precisam agir agora
O caso do StormEncryptor mostra por que ferramentas de gerenciamento remoto precisam receber o mesmo nível de prioridade de sistemas críticos de identidade e infraestrutura.
Um servidor RMM comprometido pode oferecer ao invasor exatamente aquilo que ele procura: privilégios, alcance, automação e acesso a múltiplos endpoints. No caso do Storm-1175, essa combinação é potencializada por uma operação conhecida pela velocidade entre exploração, reconhecimento, roubo de credenciais, exfiltração e ransomware.
Por isso, administradores de N-central, MSPs e equipes de segurança corporativa devem verificar seus ambientes imediatamente, confirmar a instalação das correções e procurar sinais de comprometimento anteriores ao patch.
O surgimento do ransomware StormEncryptor também reforça uma lição importante: corrigir uma vulnerabilidade depois da exploração não elimina automaticamente o invasor que já entrou no ambiente. A atualização precisa ser acompanhada de investigação, rotação de credenciais, análise de logs e monitoramento dos endpoints.
Se sua organização utiliza N-central, trate a situação como prioridade de segurança. E, diante da velocidade demonstrada pelo Storm-1175, compartilhar esse alerta com outros administradores e profissionais de TI pode ajudar a reduzir o número de ambientes vulneráveis antes que uma exploração se transforme em um incidente de ransomware.