Storm-1175 exploite une faille de N-central pour déployer StormEncryptor

Une nouvelle souche de ransomware liée à une faille de gestion à distance

Microsoft Threat Intelligence a identifié une nouvelle campagne de ransomware liée à un acteur malveillant suivi sous le nom de Storm-1175, que l'on pense basé en Chine. Selon les conclusions de Microsoft, le groupe a probablement obtenu un accès initial aux réseaux des victimes en exploitant une vulnérabilité de contournement d'authentification, CVE-2026-18577, dans l'outil de surveillance et de gestion à distance (RMM) N-central de N-able. Une fois à l'intérieur, les attaquants ont déployé une souche de ransomware jusqu'alors non documentée, désormais appelée StormEncryptor.

Les détails émergent encore, mais les faits essentiels rapportés jusqu'à présent sont simples : une faille dans une plateforme de gestion informatique largement utilisée a permis un contournement d'authentification, et ce contournement semble avoir servi de point d'entrée pour un déploiement de ransomware. Pour les organisations qui s'appuient sur des logiciels RMM pour gérer les terminaux sur leurs réseaux, cette combinaison est exactement le type de scénario que les équipes de sécurité cherchent à prévenir.

Pourquoi les outils RMM sont une cible de grande valeur

Les plateformes de surveillance et de gestion à distance comme N-central existent pour offrir aux administrateurs informatiques un contrôle centralisé sur un grand nombre d'appareils, souvent répartis sur plusieurs organisations clientes lorsque le logiciel est utilisé par un fournisseur de services gérés. Cette centralisation est ce qui rend ces outils si utiles pour les administrateurs légitimes, et c'est aussi ce qui les rend attractifs pour les attaquants. Un seul contournement d'authentification dans un outil RMM peut potentiellement ouvrir une porte non seulement vers un réseau, mais vers tous les appareils et environnements clients auxquels cet outil a accès.

Ce n'est pas un schéma nouveau dans les opérations de ransomware. Les attaquants se sont tournés à plusieurs reprises vers les logiciels d'infrastructure et de gestion précisément parce que les compromettre peut multiplier l'impact d'une seule exploitation réussie. Lorsqu'une vulnérabilité permet à un attaquant de contourner complètement l'authentification, les défenses habituelles comme la surveillance des identifiants ou l'authentification multifacteur peuvent ne même pas entrer en jeu, puisque l'attaquant n'a jamais eu besoin d'identifiants valides au départ.

Ce que nous savons (et ignorons) sur StormEncryptor

D'après les rapports de Microsoft, StormEncryptor semble être une souche de ransomware nouvellement créée plutôt qu'un changement de nom d'une famille existante. Au-delà de son nom et de son lien apparent avec l'exploitation de N-central, les détails publics restent limités à ce stade. Ce qui est clair, c'est que Storm-1175 est passé de l'accès initial au déploiement du ransomware, ce qui est le résultat que les organisations veulent le plus éviter une fois qu'une vulnérabilité comme celle-ci est connue.

Ce cas renforce également un point qui revient régulièrement dans la recherche sur les ransomwares : même lorsqu'un incident spécifique est maîtrisé, la motivation financière sous-jacente de ces groupes disparaît rarement. Comme l'ont montré les données récentes sur les paiements de rançon, payer une rançon n'empêche pas de manière fiable une organisation d'être à nouveau ciblée. Ce point de données est un rappel utile que l'objectif pour les défenseurs devrait être la prévention et la détection rapide, et pas seulement de disposer d'un plan de réponse après les faits.

Ce que cela signifie pour vous

Si votre organisation, ou un fournisseur de services gérés sur lequel vous comptez, utilise la plateforme N-central de N-able, cette évolution mérite une attention immédiate. Les vulnérabilités de contournement d'authentification sont considérées comme de gravité élevée précisément parce qu'elles suppriment les barrières normales que les attaquants devraient autrement surmonter. Le fait qu'un groupe de ransomware semble avoir déjà militarisé cette faille signifie que la fenêtre entre la divulgation et l'exploitation active a été courte.

Pour les utilisateurs quotidiens et les petites entreprises qui ne gèrent pas directement de logiciels RMM, l'enseignement pratique est plus large : les groupes de ransomware sondent constamment les outils auxquels les équipes informatiques font le plus confiance, et les vulnérabilités dans cette couche d'infrastructure peuvent avoir des conséquences démesurées. C'est le bon moment pour demander à votre fournisseur informatique ou à votre équipe interne si le logiciel qui gère vos appareils est corrigé et surveillé, et pas seulement si vos terminaux individuels disposent d'une protection antivirus.

Mesures concrètes à prendre

Les organisations utilisant N-able N-central doivent vérifier si le correctif de la CVE-2026-18577 a été appliqué dans leur environnement et examiner attentivement les avis du fournisseur. Les équipes informatiques devraient également auditer les journaux d'accès RMM à la recherche de signes d'activité d'authentification inhabituelle, car les vulnérabilités de contournement peuvent laisser des traces même lorsque les alertes de connexion normales ne se déclenchent pas. Conserver des sauvegardes hors ligne et testées reste l'une des défenses les plus fiables contre les ransomwares, quelle que soit la manière dont les attaquants pénètrent. Enfin, les entreprises qui dépendent de fournisseurs de services gérés tiers devraient poser des questions directes sur la rapidité avec laquelle ces fournisseurs appliquent les correctifs de sécurité aux outils de gestion fonctionnant sur les réseaux clients, car une seule instance RMM non corrigée peut exposer bien plus qu'une seule organisation à la fois.