Storm-1175 nutzt N-central-Schwachstelle zur Verbreitung von StormEncryptor

Eine neue Ransomware-Variante, verknüpft mit einer Schwachstelle im Remote-Management

Microsoft Threat Intelligence hat eine neue Ransomware-Kampagne identifiziert, die mit dem als Storm-1175 verfolgten Bedrohungsakteur in Verbindung steht, der vermutlich aus China operiert. Den Erkenntnissen von Microsoft zufolge verschaffte sich die Gruppe wahrscheinlich durch Ausnutzung einer Authentifizierungsumgehung (CVE-2026-18577) in N-ables Remote-Monitoring- und -Management-Tool (RMM) N-central ersten Zugang zu den Opfernetzwerken. Einmal im System, setzten die Angreifer eine bislang nicht dokumentierte Ransomware-Variante ein, die nun StormEncryptor genannt wird.

Die Einzelheiten kommen noch ans Licht, aber die bisher gemeldeten Kernfakten sind einfach: Eine Schwachstelle in einer weit verbreiteten IT-Management-Plattform ermöglichte eine Authentifizierungsumgehung, und diese Umgehung scheint als Eintrittspunkt für die Verteilung von Ransomware gedient zu haben. Für Unternehmen, die RMM-Software zur Verwaltung von Endgeräten im gesamten Netzwerk einsetzen, ist diese Kombination genau das Szenario, das Sicherheitsteams zu verhindern versuchen.

Warum RMM-Tools ein hochwertiges Ziel sind

Plattformen für Remote-Überwachung und -Management wie N-central existieren, um IT-Administratoren eine zentrale Kontrolle über eine große Anzahl von Geräten zu geben – oft über mehrere Kundenorganisationen hinweg, wenn die Software von einem Managed Service Provider genutzt wird. Diese Zentralisierung macht die Tools so nützlich für legitime Administratoren und gleichzeitig attraktiv für Angreifer. Eine einzige Authentifizierungsumgehung in einem RMM-Tool kann potenziell nicht nur ein einzelnes Netzwerk öffnen, sondern jedes Gerät und jede Kundenumgebung, die dieses Tool berührt.

Das ist kein neues Muster bei Ransomware-Operationen. Angreifer haben sich immer wieder auf Infrastruktur- und Verwaltungssoftware konzentriert, gerade weil deren Kompromittierung die Auswirkungen eines einzigen erfolgreichen Exploits vervielfachen kann. Wenn eine Schwachstelle es einem Angreifer erlaubt, die Authentifizierung komplett zu überspringen, greifen die üblichen Verteidigungen wie Anmeldeinformationsüberwachung oder Multi-Faktor-Authentifizierung möglicherweise gar nicht – denn der Angreifer brauchte von vornherein keine gültigen Anmeldedaten.

Was wir über StormEncryptor wissen (und was nicht)

Dem Bericht von Microsoft zufolge handelt es sich bei StormEncryptor um eine neu entwickelte Ransomware-Variante und nicht um eine Umbenennung einer bestehenden Familie. Über ihren Namen und ihre offensichtliche Verbindung zur Ausnutzung von N-central hinaus sind die öffentlichen Details derzeit noch begrenzt. Klar ist, dass Storm-1175 vom Erstzugang zur Ransomware-Auslieferung überging – genau das Ergebnis, das Unternehmen nach Bekanntwerden einer solchen Schwachstelle am meisten vermeiden wollen.

Dieser Fall unterstreicht einen Punkt, der in der Ransomware-Forschung immer wieder auftaucht: Selbst wenn ein konkreter Vorfall eingedämmt wird, verschwindet der zugrunde liegende finanzielle Anreiz für diese Gruppen selten. Wie aktuelle Daten zu Ransomware-Zahlungen zeigen, verhindert die Zahlung eines Lösegelds nicht zuverlässig, dass eine Organisation erneut zur Zielscheibe wird. Dieser Datenpunkt erinnert daran, dass das Ziel für Verteidiger Prävention und schnelle Erkennung sein sollte – nicht nur ein Reaktionsplan für die Zeit danach.

Was das für Sie bedeutet

Falls Ihre Organisation oder ein von Ihnen beauftragter Managed Service Provider die Plattform N-central von N-able einsetzt, verdient diese Entwicklung sofortige Aufmerksamkeit. Authentifizierungsumgehungen gelten als hochriskant, weil sie die normalen Hürden beseitigen, die Angreifer sonst überwinden müssten. Dass eine Ransomware-Gruppe diese Schwachstelle offenbar bereits für Angriffe nutzt, zeigt, dass das Zeitfenster zwischen Bekanntgabe und aktiver Ausnutzung kurz war.

Für Alltagsnutzer und kleinere Unternehmen, die RMM-Software nicht direkt verwalten, ist die praktische Lehre breiter: Ransomware-Gruppen durchforsten ständig die Tools, denen IT-Teams am meisten vertrauen. Schwachstellen in dieser Infrastrukturebene können überdimensionale Folgen haben. Dies ist ein guter Moment, um Ihren IT-Dienstleister oder Ihr internes Team zu fragen, ob die Software, die Ihre Geräte verwaltet, gepatcht und überwacht wird – und nicht nur, ob Ihre einzelnen Endpunkte über Antivirenschutz verfügen.

Handlungsempfehlungen

Organisationen, die N-able N-central einsetzen, sollten überprüfen, ob CVE-2026-18577 in ihrer Umgebung gepatcht wurde, und die Herstellerhinweise sorgfältig studieren. IT-Teams sollten außerdem die Zugriffsprotokolle des RMM auf Anzeichen ungewöhnlicher Authentifizierungsaktivität prüfen, da Umgehungsschwachstellen Spuren hinterlassen können, selbst wenn normale Anmeldebenachrichtigungen nicht auslösen. Die Aufbewahrung offline gesicherter und getesteter Backups bleibt eine der zuverlässigsten Verteidigungen gegen Ransomware – unabhängig davon, wie Angreifer eindringen. Unternehmen, die auf externe Managed Service Provider angewiesen sind, sollten gezielt nachfragen, wie schnell diese Anbieter Sicherheitspatches für die Management-Tools einspielen, die in Kundennetzwerken laufen – denn eine einzige ungepatchte RMM-Instanz kann weit mehr als nur eine Organisation gleichzeitig gefährden.