🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
A Microsoft divulgou que Storm-1175, um ator de ameaças com motivação financeira ligado à China, implantou uma variedade de ransomware anteriormente não documentada chamada StormEncryptor.
O uso do StormEncryptor marca uma mudança em relação ao uso anterior do ransomware Medusa pelo adversário, disse a equipe de inteligência de ameaças da Microsoft.
“StormEncryptor é escrito em C++ e anexa a extensão de nome de arquivo .encrypted aos arquivos que criptografa”, observou a Microsoft em uma série de postagens no Bluesky. "Em seguida, ele envia uma nota de resgate chamada !!!README_FIRST!!!.txt para todos os diretórios verificados."
Embora a vulnerabilidade exata explorada pelo ator da ameaça como parte desta campanha não seja clara, a gigante tecnológica disse que provavelmente envolve a exploração de CVE-2026-18577, uma falha de segurança recentemente divulgada no N-able N-central, para obter acesso inicial.
A vulnerabilidade é avaliada como um desvio de patch para CVE-2026-18556, ambos permitindo desvio de autenticação e controle de conta em versões suscetíveis. Desde então, as vulnerabilidades foram sinalizadas pela Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) como exploradas ativamente em estado selvagem.
Storm-1175 é o nome atribuído a um ator de ameaça baseado na China com um histórico de implantação de ransomware Medusa após explorar falhas de segurança em Mirth Connect (CVE-2023-37679, CVE-2023-43208), ConnectWise ScreenConnect (CVE-2024-1709, CVE-2024-1708), JetBrains TeamCity (CVE-2024-27198, CVE-2024-27199) e Fortinet FortiClient EMS (CVE-2023-48788).
Numa análise publicada em outubro de 2025, a Microsoft também atribuiu o ator da ameaça à exploração de uma vulnerabilidade crítica de segurança que afetou o Fortra GoAnywhere (CVE-2025-10035) para facilitar a implantação do ransomware Medusa.
O grupo, de acordo com o fabricante do Windows, utiliza uma combinação de vulnerabilidades de dia zero e de dia N para realizar ataques de alta velocidade e invadir sistemas suscetíveis voltados para a Internet, aproveitando a janela entre a divulgação de vulnerabilidades e a adoção de patches.
“Nesta nova atividade, o comportamento pós-comprometimento do Storm-1175 inclui abuso de ferramentas remotas de monitoramento e gerenciamento AnyDesk ou SimpleHelp, Advanced IP Scanner para descoberta e dumping LSASS usando Mimikatz”, acrescentou.
Storm-1175 também foi observado passando rapidamente do acesso inicial à exfiltração de dados e implantação de ransomware, principalmente em poucos dias, tornando essencial que os clientes apliquem os patches o mais rápido possível.
O uso do StormEncryptor marca uma mudança em relação ao uso anterior do ransomware Medusa pelo adversário, disse a equipe de inteligência de ameaças da Microsoft.
“StormEncryptor é escrito em C++ e anexa a extensão de nome de arquivo .encrypted aos arquivos que criptografa”, observou a Microsoft em uma série de postagens no Bluesky. "Em seguida, ele envia uma nota de resgate chamada !!!README_FIRST!!!.txt para todos os diretórios verificados."
Embora a vulnerabilidade exata explorada pelo ator da ameaça como parte desta campanha não seja clara, a gigante tecnológica disse que provavelmente envolve a exploração de CVE-2026-18577, uma falha de segurança recentemente divulgada no N-able N-central, para obter acesso inicial.
A vulnerabilidade é avaliada como um desvio de patch para CVE-2026-18556, ambos permitindo desvio de autenticação e controle de conta em versões suscetíveis. Desde então, as vulnerabilidades foram sinalizadas pela Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) como exploradas ativamente em estado selvagem.
Storm-1175 é o nome atribuído a um ator de ameaça baseado na China com um histórico de implantação de ransomware Medusa após explorar falhas de segurança em Mirth Connect (CVE-2023-37679, CVE-2023-43208), ConnectWise ScreenConnect (CVE-2024-1709, CVE-2024-1708), JetBrains TeamCity (CVE-2024-27198, CVE-2024-27199) e Fortinet FortiClient EMS (CVE-2023-48788).
Numa análise publicada em outubro de 2025, a Microsoft também atribuiu o ator da ameaça à exploração de uma vulnerabilidade crítica de segurança que afetou o Fortra GoAnywhere (CVE-2025-10035) para facilitar a implantação do ransomware Medusa.
O grupo, de acordo com o fabricante do Windows, utiliza uma combinação de vulnerabilidades de dia zero e de dia N para realizar ataques de alta velocidade e invadir sistemas suscetíveis voltados para a Internet, aproveitando a janela entre a divulgação de vulnerabilidades e a adoção de patches.
“Nesta nova atividade, o comportamento pós-comprometimento do Storm-1175 inclui abuso de ferramentas remotas de monitoramento e gerenciamento AnyDesk ou SimpleHelp, Advanced IP Scanner para descoberta e dumping LSASS usando Mimikatz”, acrescentou.
Storm-1175 também foi observado passando rapidamente do acesso inicial à exfiltração de dados e implantação de ransomware, principalmente em poucos dias, tornando essencial que os clientes apliquem os patches o mais rápido possível.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #hackers #vinculados #à #china #implantam #novo #ransomware #stormencryptor, #provavelmente #por #meio #de #falha #ncentral
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário