StormEncryptor : Storm-1175 quitte Medusa et déploie son ransomware inédit

Les faits

Le 2 août 2026, les équipes de Microsoft Threat Intelligence ont détecté une nouvelle activité du groupe Storm-1175, acteur de menace à motivation financière lié à la Chine, qui s'était jusqu'alors concentré sur le déploiement de ransomware Medusa. Le groupe opère désormais avec une charge utile personnalisée : StormEncryptor, un ransomware écrit en C++ dont il s'agit de la première observation publique. Cette transition marque la première opération documentée de Storm-1175 depuis son activité d'avril 2026 et constitue un pivot stratégique majeur dans son arsenal offensif.

StormEncryptor suit le modèle du ransomware double extorsion. Après avoir infiltré l'environnement cible, l'outil chiffre les fichiers des systèmes compromis et ajoute l'extension .encrypted à chaque fichier traité. Une note de rançon intitulée !!!README_FIRST!!!.txt est déposée dans chaque répertoire scanné. La note accorde aux victimes un délai de trois jours pour contacter les attaquants et entamer une négociation, faute de quoi les données exfiltrées sont menacées de publication sur un site de fuite dédié.

Le vecteur d'accès initial n'est pas officiellement confirmé par Microsoft, mais la chronologie et les cibles désignent avec une forte probabilité CVE-2026-18577, une vulnérabilité de contournement d'authentification affectant N-able N-central. Cette faille est en réalité un contournement du correctif publié pour CVE-2026-18556 — le premier patch était incomplet. Les deux CVE ont un score CVSS de 8.2 et figurent toutes deux au catalogue KEV (Known Exploited Vulnerabilities) de la CISA depuis début août 2026. N-able N-central est un logiciel de gestion et supervision à distance massivement déployé par les prestataires de services managés (MSP) pour administrer les environnements de leurs clients.

L'exploitation de N-able N-central par des acteurs ransomware n'est pas une nouveauté — le logiciel, comme ses concurrents ConnectWise Manage, Kaseya VSA ou Datto RMM, est une cible de choix depuis plusieurs années parce qu'un seul accès compromis peut permettre d'atteindre des centaines de clients downstream simultanément. C'est la raison pour laquelle cet incident est classé comme menace supply chain à fort potentiel de propagation. Un MSP touché n'est pas seulement une victime : il devient involontairement un point d'entrée vers l'ensemble de son portefeuille clients.

Une fois l'accès initial obtenu, Storm-1175 démontre une cadence opérationnelle rapide. Selon Microsoft, le groupe utilise des outils d'administration à distance légitimes — AnyDesk et SimpleHelp — pour maintenir la persistance et faciliter les mouvements latéraux, réduisant ainsi la surface de détection. Pour la reconnaissance interne, Advanced IP Scanner est employé pour cartographier le réseau compromis. L'extraction des identifiants est assurée par Mimikatz, outil classique de credential dumping. Cette combinaison d'outils légitimes (living off the land) et d'outils d'attaque dédiés est une signature récurrente des groupes sophistiqués cherchant à se fondre dans le bruit opérationnel normal d'un environnement MSP.

Le profil historique de Storm-1175 confirme son appétence pour les vulnérabilités affectant les outils d'administration. Parmi ses campagnes passées documentées par Microsoft : exploitation de failles critiques dans Mirth Connect (plateforme d'intégration de données de santé), ConnectWise ScreenConnect (RCE non-authentifié), JetBrains TeamCity (CVE-2026-63077), Fortinet FortiClient EMS (CVE-2026-21643, injection SQL dans le KEV CISA), et Fortra GoAnywhere. Ce catalogue révèle une stratégie cohérente : viser les outils d'administration et de supervision qui donnent accès non à une seule organisation mais à des dizaines via un effet multiplicateur.

La transition de Medusa vers StormEncryptor reflète une tendance observée dans plusieurs groupes : se doter d'un outil propriétaire permet d'échapper plus facilement aux signatures des solutions EDR calibrées sur les ransomwares connus, de contrôler totalement le chiffrement et la clé de déchiffrement, et de ne plus dépendre des infrastructures partagées d'un RaaS. Les analyses de GBHackers, Cyberpress et Zero Owl, publiées entre le 7 et le 10 août 2026, s'accordent sur ce point.

La CISA a fixé au 28 août 2026 la date limite de correction pour les agences fédérales américaines soumises à la directive BOD 22-01 — une indication claire de la sévérité perçue. Les versions de N-able N-central corrigeant CVE-2026-18577 sont disponibles depuis fin juillet 2026 ; toute organisation n'ayant pas encore appliqué le patch est exposée à une exploitation imminente.

Impact et exposition

Sont directement exposés les MSP utilisant N-able N-central en version non patchée pour CVE-2026-18577, et par extension l'ensemble de leurs clients managés. Les secteurs historiquement ciblés par Storm-1175 incluent la santé, la finance, l'industrie manufacturière et les collectivités. L'impact potentiel d'une compromission MSP est disproportionné par rapport à la taille de l'organisation attaquée : un seul MSP peut gérer des centaines de clients, chacun devenant une victime potentielle en cascade.

Recommandations

• Patcher immédiatement N-able N-central vers la version corrigeant CVE-2026-18577 — ne pas attendre la fenêtre de maintenance habituelle
• Auditer les logs d'accès N-central des 30 derniers jours à la recherche d'authentifications anormales depuis des IP inconnues ou hors plages horaires habituelles
• Vérifier les règles de forwarding e-mail et toute modification récente des comptes administrateurs dans N-central
• Activer la MFA sur l'ensemble des accès N-central si ce n'est pas déjà le cas
• Segmenter les accès MSP : les credentials N-central ne doivent pas être réutilisés ailleurs ; l'accès aux consoles d'administration client doit être restreint aux IP autorisées
• Déployer des règles de détection ciblant l'extension .encrypted et la note !!!README_FIRST!!!.txt dans vos outils EDR/XDR