StormEncryptor: Neue Ransomware nutzt N-able-Lücke CVE-2026-18577
Veröffentlicht am: 09.08.2026 um 23:21 Uhr | Redaktion boerse-global.de
Microsoft Threat Intelligence hat eine neue, zielgerichtete Ransomware-Kampagne der Bedrohungsgruppe Storm-1175 identifiziert. Die Angreifer nutzen dabei eine kürzlich bekannt gewordene Sicherheitslücke in Infrastrukturen des Softwareherstellers N-able aus, um den neu entwickelten Verschlüsseler StormEncryptor in Unternehmensnetzwerken zu verbreiten. Nach einer Phase geringerer Aktivität markiert dies die erste dokumentierte Operation der Gruppe seit dem Frühjahr dieses Jahres.
Ausnutzung der Schwachstelle CVE-2026-18577
Zentrales Element der aktuellen Angriffswelle ist die Ausnutzung der kritischen Sicherheitslücke CVE-2026-18577 in N-able-Umgebungen. Diese Schwachstelle wurde am 02.08.2026 offiziell veröffentlicht. Aufgrund der hohen Relevanz und des aktiven Missbrauchs wurde sie bereits am Folgetag, dem 03.08.2026, in den Katalog bekannter ausgenutzter Schwachstellen der US-Cybersicherheitsbehörde CISA aufgenommen.
Die Experten von Microsoft beobachten den Einsatz der neuen Malware StormEncryptor durch die Gruppe Storm-1175 seit dem 02.08.2026. Zuvor war die Gruppe insbesondere durch Operationen mit der Ransomware-Variante Medusa in Erscheinung getreten, war jedoch seit April 2026 nicht mehr mit signifikanten Kampagnen aufgefallen.
Technische Details zu StormEncryptor
Bei StormEncryptor handelt es sich um eine auf der Programmiersprache C++ basierende Schadsoftware. Microsoft führt die Malware unter der Bezeichnung Ransom:Win64/StormEncryptor und identifizierte den SHA-256-Hash c19ded65e822bb43ad0381c58abf33b7c8890f7bcc7125058a0c849c7e1a6054 als Teil der aktuellen Kampagne.
Sobald die Ransomware ein System infiziert hat, verschlüsselt sie die dort gespeicherten Daten und versieht diese mit der Dateiendung .encrypted. Um die Opfer zur Kontaktaufnahme und Lösegeldzahlung zu bewegen, hinterlassen die Akteure eine Erpressernachricht in Form einer Textdatei mit dem Namen !!!README_FIRST!!!.txt auf den betroffenen Systemen.
Hohe Angriffsgeschwindigkeit und Tool-Einsatz
Ein markantes Merkmal der von Storm-1175 durchgeführten Angriffe ist die hohe Geschwindigkeit des operativen Ablaufs. Laut den Analysen von Microsoft Threat Intelligence benötigen die Angreifer vom initialen Zugriff auf das Netzwerk bis zum vollständigen Datendiebstahl und der anschließenden Verschlüsselung der Systeme oft nur etwa 24 Stunden.
Angesichts der Geschwindigkeit moderner Ransomware-Angriffe müssen Unternehmen ihre IT-Sicherheit proaktiv stärken, ohne zwingend in teure neue Infrastruktur investieren zu müssen. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken effektiv schließen und aktuelle Bedrohungen rechtzeitig abwenden. Cyber Security Strategien für Unternehmen jetzt kostenlos sichern
Dabei greift die Gruppe auf eine Kombination aus legitimen Administrationswerkzeugen und spezialisierter Angriffssoftware zurück. Für den Fernzugriff und die Steuerung innerhalb der Netzwerke nutzen die Akteure diverse Remote-Monitoring-und-Management-Tools (RMM) sowie Fernwartungssoftware. Dazu zählen unter anderem:
- Atera, Level RMM und N-able
- ConnectWise ScreenConnect
- AnyDesk und SimpleHelp
- DWAgent und MeshAgent
Zur Vorbereitung der Verschlüsselung und zur Ausweitung ihrer Berechtigungen setzen die Angreifer zudem den Advanced IP Scanner zur Netzwerkanalyse ein. Um an sensible Anmeldedaten zu gelangen, nutzt Storm-1175 das Tool Mimikatz für sogenannte LSASS-Dumps, mit denen Passwörter aus dem Arbeitsspeicher ausgelesen werden können.
Wer sich mit dem Schutz vor Cyberkriminalität befasst, sollte auch die psychologischen Taktiken der Angreifer kennen, um die eigene Belegschaft zu sensibilisieren. Ein neuer Gratis-Report erklärt die aktuellen Methoden der Cyberkriminellen und bietet eine hilfreiche Analyse zur Abwehr von Hacker-Angriffen. Kostenloses Anti-Phishing-Paket zur Hacker-Abwehr herunterladen
Handlungsempfehlungen für Unternehmen
Angesichts der laufenden Kampagne betonen Sicherheitsanalysten die Notwendigkeit schneller Schutzmaßnahmen. Microsoft empfiehlt betroffenen Organisationen, die entsprechende Sicherheitslücke in N-able-Umgebungen umgehend durch die verfügbaren Patches zu schließen.
Darüber hinaus wird dazu geraten, den Einsatz von Fernwartungswerkzeugen und RMM-Tools im Netzwerk streng zu überwachen, um unbefugte Aktivitäten frühzeitig zu erkennen. Im Falle einer Kompromittierung sei die schnelle Isolierung der betroffenen Systeme entscheidend, um eine weitere Ausbreitung der Ransomware zu verhindern. Als grundlegende Schutzmechanismen werden zudem die Implementierung robuster Identitätsschutzlösungen sowie die Vorhaltung isolierter Backups genannt, um die Wiederherstellungsfähigkeit im Ernstfall zu gewährleisten.
