Storm-1175 : Medusa ransomware déployé en moins de 24 heures

Les faits

Le 6 avril 2026, Microsoft Threat Intelligence a publié une analyse détaillée des opérations de Storm-1175, un acteur cybercriminel à motivation financière spécialisé dans le déploiement du ransomware Medusa, distribué selon un modèle RaaS (Ransomware-as-a-Service). Le rapport met en lumière une caractéristique déterminante de ce groupe : sa vitesse d'exécution. Entre la compromission initiale — souvent obtenue via l'exploitation de vulnérabilités affectant des applications exposées sur Internet — et le chiffrement des données, il s'écoule parfois moins de vingt-quatre heures. Cette fenêtre d'action extrêmement réduite laisse peu de marge aux équipes de sécurité pour détecter l'intrusion, qualifier l'incident et contenir la menace avant l'impact. L'analyse des campagnes Storm-1175 Medusa ransomware révèle une chaîne d'attaque combinant exploitation de failles connues, outils d'administration à distance légitimes, exfiltration de données et double extorsion. Cet article détaille les techniques observées et les mesures de défense prioritaires.

Storm-1175 a exploité plus de 16 vulnérabilités dans des produits d'entreprise largement déployés depuis 2023. Parmi les failles les plus récentes, au moins trois zero-days ont été utilisés, notamment la CVE-2026-23760 dans SmarterMail et la CVE-2025-10035 dans GoAnywhere Managed File Transfer. Le groupe cible systématiquement les actifs exposés sur Internet : portails web, serveurs de messagerie, passerelles de transfert de fichiers.

Impact et exposition

Les campagnes Storm-1175 opèrent en double extorsion : les données sont d'abord exfiltrées via Rclone avant le déploiement du ransomware Medusa. Le groupe utilise Bandizip pour la collecte et des commandes PowerShell encodées pour désactiver les solutions antivirus en ajoutant le lecteur C: aux exclusions. Les organisations des secteurs santé, éducation, services professionnels et finance sont les cibles principales, avec des intrusions récentes documentées en Australie, au Royaume-Uni et aux États-Unis.

Le modèle RaaS de Medusa fournit à ses affiliés un site de fuite dédié pour publier les données volées en cas de non-paiement. Cette pression sur les victimes est amplifiée quand les données concernent des patients ou des étudiants. On observe une tendance similaire dans l'attaque ChipSoft qui a paralysé des hôpitaux néerlandais la semaine dernière, et dans l'incident au Massachusetts qui a détourné des ambulances.

Recommandations (2)

• Inventorier et patcher en priorité tous les actifs exposés sur Internet : serveurs web, messagerie, MFT, portails VPN.
• Surveiller les exclusions antivirus sur les postes et serveurs — toute modification non planifiée du répertoire d'exclusion doit déclencher une alerte.
• Déployer une solution EDR/XDR capable de détecter les mouvements latéraux rapides et l'utilisation d'outils comme Rclone et Bandizip.
• Segmenter le réseau pour limiter la propagation latérale et maintenir des sauvegardes hors ligne testées régulièrement.

Recommandations

• Patcher en priorité les CVE exploitées par Storm-1175 : CVE-2026-23760 (SmarterMail) et CVE-2025-10035 (GoAnywhere MFT), ainsi que les failles historiques sur les VPN et passerelles de messagerie exposées.
• Auditer les exclusions antivirus/EDR : la technique d'ajout du lecteur C: aux exclusions via PowerShell encodé doit déclencher une alerte automatique.
• Surveiller les flux sortants vers Rclone et les services de stockage cloud non approuvés, principal vecteur d'exfiltration observé avant chiffrement.
• Mettre en place une authentification multifacteur sur tous les accès distants et portails d'administration exposés sur Internet.

Comment se protéger quand le ransomware est déployé en moins de 24 heures ?

La fenêtre de 24 heures documentée par Microsoft change la donne pour les équipes de sécurité habituées à des délais de "dwell time" de plusieurs jours, voire semaines, observés chez d'autres groupes RaaS. Face à cette vélocité, la détection basée sur la seule analyse a posteriori devient insuffisante : les organisations doivent privilégier une détection comportementale en temps réel (EDR/XDR) capable d'identifier les chaînes d'attaque en cours — énumération réseau rapide, création de tâches planifiées, désactivation de services de sécurité — avant l'étape de chiffrement. La segmentation réseau et la sauvegarde hors ligne (air-gapped) restent les seules protections garantissant une reprise d'activité si la détection échoue.

Medusa est-il lié à d'autres groupes ransomware connus ?

Le modèle RaaS de Medusa, actif depuis 2021, partage des similitudes opérationnelles avec d'autres familles comme LockBit et BlackCat/ALPHV en matière de double extorsion, mais Storm-1175 s'en distingue par sa spécialisation dans l'exploitation rapide de vulnérabilités n-day et zero-day plutôt que le phishing. Microsoft ne rattache pas directement ce groupe à d'autres clusters d'affiliés Medusa suivis séparément, ce qui suggère une structure d'affiliation cloisonnée typique des plateformes RaaS matures.

Votre infrastructure est-elle exposée ?

Les organisations utilisant SmarterMail ou GoAnywhere MFT doivent vérifier immédiatement leur version installée et consulter les avis éditeurs. Un inventaire des actifs exposés sur Internet (scan externe type Shodan/Censys) permet d'identifier les surfaces d'attaque correspondant aux 16+ vulnérabilités listées par Microsoft.

Sources et références (2)

• Microsoft Security Blog — analyse Storm-1175, 6 avril 2026
• DarkReading — couverture des campagnes Medusa
• The Hacker News — détails techniques des CVE exploitées