Storm-1175 sfrutta una falla di N-central per distribuire StormEncryptor

Una nuova variante di ransomware legata a una falla nella gestione remota

Microsoft Threat Intelligence ha individuato una nuova campagna ransomware collegata a un attore malevolo tracciato come Storm-1175, che si ritiene abbia base in Cina. Secondo quanto rilevato da Microsoft, il gruppo ha probabilmente ottenuto l'accesso iniziale alle reti delle vittime sfruttando una vulnerabilità di bypass dell'autenticazione, CVE-2026-18577, nello strumento di monitoraggio e gestione remota (RMM) N-central di N-able. Una volta all'interno, gli aggressori hanno distribuito una variante di ransomware precedentemente non documentata, ora denominata StormEncryptor.

I dettagli stanno ancora emergendo, ma i fatti principali finora riportati sono chiari: una falla in una piattaforma di gestione IT ampiamente utilizzata ha consentito un bypass dell'autenticazione, e quel bypass sembra essere servito come punto di ingresso per la distribuzione del ransomware. Per le organizzazioni che si affidano a software RMM per gestire gli endpoint sulle proprie reti, questa combinazione è esattamente il tipo di scenario che i team di sicurezza lavorano per prevenire.

Perché gli strumenti RMM sono un obiettivo di alto valore

Le piattaforme di monitoraggio e gestione remota come N-central esistono per dare agli amministratori IT un controllo centralizzato su un gran numero di dispositivi, spesso in più organizzazioni clienti se il software è utilizzato da un fornitore di servizi gestiti. Questa centralizzazione è ciò che rende questi strumenti così utili per gli amministratori legittimi, ed è anche ciò che li rende attraenti per gli aggressori. Un singolo bypass dell'autenticazione in uno strumento RMM può potenzialmente aprire una porta non solo a una rete, ma a ogni dispositivo e ambiente cliente toccato da quello strumento.

Non si tratta di un modello nuovo nelle operazioni ransomware. Gli aggressori si sono ripetutamente orientati verso il software di infrastruttura e gestione proprio perché comprometterlo può moltiplicare l'impatto di un singolo exploit riuscito. Quando una vulnerabilità consente a un aggressore di saltare completamente l'autenticazione, le difese abituali come il monitoraggio delle credenziali o l'autenticazione a più fattori potrebbero non entrare nemmeno in gioco, dal momento che l'aggressore non ha mai avuto bisogno di credenziali valide in primo luogo.

Cosa sappiamo (e cosa no) su StormEncryptor

In base a quanto riportato da Microsoft, StormEncryptor sembra essere una variante di ransomware di nuova creazione piuttosto che un rebranding di una famiglia esistente. Al di là del nome e del suo apparente collegamento con lo sfruttamento di N-central, i dettagli pubblici rimangono limitati in questa fase. Ciò che è chiaro è che Storm-1175 è passato dall'accesso iniziale alla distribuzione del ransomware, che è l'esito che le organizzazioni vogliono maggiormente evitare una volta che una vulnerabilità come questa diventa nota.

Questo caso rafforza anche un punto emerso più volte nella ricerca sul ransomware: anche quando un incidente specifico viene contenuto, l'incentivo finanziario sottostante per questi gruppi raramente scompare. Come hanno mostrato i dati recenti sui pagamenti ransomware, pagare un riscatto non impedisce in modo affidabile che un'organizzazione venga presa di mira nuovamente. Questo dato è un utile promemoria che l'obiettivo per i difensori dovrebbe essere la prevenzione e il rilevamento rapido, non semplicemente avere un piano di risposta per il dopo.

Cosa significa per te

Se la tua organizzazione, o un fornitore di servizi gestiti a cui ti affidi, utilizza la piattaforma N-central di N-able, questo sviluppo merita attenzione immediata. Le vulnerabilità di bypass dell'autenticazione sono considerate di elevata gravità proprio perché rimuovono le normali barriere che gli aggressori dovrebbero altrimenti superare. Il fatto che un gruppo ransomware sembri aver già armato questa falla significa che la finestra tra la divulgazione e lo sfruttamento attivo è stata breve.

Per gli utenti comuni e le piccole imprese che non gestiscono direttamente il software RMM, il punto pratico è più ampio: i gruppi ransomware sondano costantemente gli strumenti di cui i team IT si fidano maggiormente, e le vulnerabilità in quel livello di infrastruttura possono avere conseguenze sproporzionate. Questo è un buon momento per chiedere al proprio fornitore IT o al team interno se il software che gestisce i propri dispositivi è aggiornato e monitorato, non solo se i singoli endpoint hanno una protezione antivirus.

Punti chiave per l'azione

Le organizzazioni che utilizzano N-able N-central dovrebbero verificare se la CVE-2026-18577 è stata corretta nel proprio ambiente e consultare attentamente gli avvisi del fornitore. I team IT dovrebbero anche controllare i log di accesso RMM per individuare segni di attività di autenticazione insolita, poiché le vulnerabilità di bypass possono lasciare tracce anche quando i normali avvisi di accesso non scattano. Mantenere backup offline e testati rimane una delle difese più affidabili contro il ransomware, indipendentemente da come gli aggressori ottengono l'accesso. Infine, le aziende che dipendono da fornitori di servizi gestiti di terze parti dovrebbero porre domande dirette sulla rapidità con cui quei fornitori applicano le patch di sicurezza agli strumenti di gestione in esecuzione sulle reti dei clienti, poiché una singola istanza RMM non aggiornata può esporre molto più di un'organizzazione alla volta.