LONDON (IT BOLTWISE) – Microsoft Threat Intelligence warnt vor einer neuen Ransomware-Kampagne der Gruppe Storm-1175, die den Verschlüsseler StormEncryptor in Unternehmensnetzwerken verteilt. Auslöser ist die im August 2026 bekannt gewordene N-able-Sicherheitslücke CVE-2026-18577, die bereits am Folgetag in den CISA-Katalog für aktiv ausgenutzte Schwachstellen aufgenommen wurde. Microsoft beobachtet die Aktivitäten seit dem 02.08.2026 und beschreibt einen schnellen Ablauf von der Kompromittierung bis zur vollständigen Verschlüsselung. Entscheidend sind jetzt Patch-Management, Kontrolle der Fernwartungswege und eine schnelle Isolation betroffener Systeme.
StormEncryptor-Ransomware: N-able-Lücke CVE-2026-18577 wird aktiv ausgenutzt (Foto: IT BOLTWISE)
🧠 KI & Robotik auf Google News abonnieren
Die aktuelle Bedrohung dreht sich weniger um ein einzelnes Schadcode-Update als um die Kombination aus einer frisch bekannt gewordenen Schwachstelle und einem bereits erprobten „Angriffspaket“ aus Tools, Zugriffswegen und Erpressungslogik. Laut Microsoft Threat Intelligence identifizierte die Gruppe Storm-1175 eine zielgerichtete Kampagne, in deren Zentrum der Verschlüsseler StormEncryptor steht. Bemerkenswert ist dabei vor allem der Zeitpunkt: Microsoft verortet den aktiven Einsatz seit dem 02.08.2026, und nach einer Phase geringerer Aktivität markiert dies wieder eine klar dokumentierte Operation der Gruppe.
Den technischen Startpunkt liefern Angreifer über die N-able-Umgebungen: Als zentrales Element nennen die Analysen die Ausnutzung der Sicherheitslücke CVE-2026-18577. Die Schwachstelle wurde am 02.08.2026 offiziell veröffentlicht; aufgrund der hohen Relevanz und des aktiven Missbrauchs tauchte sie bereits am 03.08.2026 in der Liste bekannter ausgenutzter Schwachstellen der US-Behörde CISA auf. Für Unternehmen bedeutet das in der Praxis, dass „abwarten bis der Patch im normalen Wartungsfenster landet“ riskant wird, weil der Zeitvorteil der Angreifer häufig genau in dieser frühen Phase entsteht.
Für die Identifikation im Incident-Response-Prozess nennt Microsoft konkrete Malware-Details: StormEncryptor wird als Ransom: Win64/StormEncryptor geführt. Zusätzlich ordnen die Sicherheitsforscher einen SHA-256-Hash zu, nämlich c19ded65e822bb43ad0381c58abf33b7c8890f7bcc7125058a0c849c7e1a6054, der als technischer Abgleich für Logs, Telemetriedaten und Datei-Hashes dienen kann. Sobald die Ransomware einen Rechner übernommen hat, verschlüsselt sie gespeicherte Daten und hängt der Datei eine neue Endung an, in diesem Fall.encrypted. Zur Erpressung verwenden die Angreifer zudem eine Textdatei als Nachricht mit dem Namen!!!README_FIRST!!!.txt, die auf dem betroffenen System abgelegt wird.
Auch die operative Geschwindigkeit sticht hervor, denn Microsoft beschreibt für die Kette vom initialen Zugriff bis zum vollständigen Datendiebstahl und zur anschließenden Verschlüsselung häufig nur etwa 24 Stunden. Gerade diese Größenordnung ist für IT-Sicherheitsverantwortliche unbequem, weil viele Reaktionspläne implizit von langsameren „Kill Chain“-Phasen ausgehen. Dazu passt, dass die Gruppe laut Analyse nicht bei reiner Ausnutzung der Schwachstelle stehenbleibt, sondern eine Kombination aus legitimen Administrationswerkzeugen und spezialisierter Angriffssoftware einsetzt, um sich im Netzwerk zu bewegen und Berechtigungen auszubauen.
Als Werkzeuge für Fernzugriff und Steuerung innerhalb der Netze werden mehrere Remote-Monitoring- und -Management-Ansätze genannt, darunter Atera, Level RMM und N-able sowie ConnectWise ScreenConnect. Daneben führt Microsoft auch Beispiele für Remote-Desktop-Software auf, etwa AnyDesk und SimpleHelp, sowie weitere Tools wie DWAgent und MeshAgent. Diese Mischung ist strategisch, weil sie sich in vielen Umgebungen mit legitimen Admin-Workflows überlagert und dadurch die Erkennung im Live-Betrieb erschwert. Für die Vorbereitung der Verschlüsselung und die Ausweitung der Rechte setzen die Angreifer außerdem auf den Advanced IP Scanner zur Netzwerkanalyse.
Um an Zugangsdaten zu gelangen, beschreibt Microsoft den Einsatz von Mimikatz für sogenannte LSASS-Dumps, also das Auslesen von Passwörtern aus dem Arbeitsspeicher. Das ist technisch relevant, weil es deutlich macht, dass hier nicht nur „über die Oberfläche“ gearbeitet wird, sondern dass die Angreifer typischerweise versuchen, Credential-Material direkt aus dem Prozesskontext zu gewinnen. Aus Sicht der Verteidigung verschiebt sich damit der Fokus: Patchen bleibt zentral, aber gleichzeitig müssen Schutzmechanismen greifen, die den Zugriff auf hochsensible Speicherbereiche erschweren und verdächtige Tool-Nutzung sichtbar machen. Im selben Atemzug nennt Microsoft als Vorgehensrahmen das schnelle Schließen der genannten N-able-Schwachstelle über verfügbare Patches.
Für die unmittelbare Handlungsfähigkeit empfehlen die Sicherheitsanalysten, die Nutzung von Fernwartungswerkzeugen und RMM-Tools im Netzwerk stärker zu überwachen, um unbefugte Aktivitäten früh zu erkennen. Wenn bereits eine Kompromittierung vorliegt, steht außerdem die schnelle Isolation betroffener Systeme im Vordergrund, damit sich die Ransomware nicht weiter ausbreiten kann. Als zusätzliche Basiselemente der Absicherung werden robuste Identitätsschutzlösungen genannt sowie isolierte Backups, die die Wiederherstellungsfähigkeit im Ernstfall realistisch machen. In Summe zeigt die Kampagne, dass selbst ohne „neue“ Infrastruktur Angriffsflächen schnell reduziert werden können, wenn Patch-Management, Sichtbarkeit in Remote-Wegen und Backup-Disziplin als zusammenhängendes Paket umgesetzt werden.
Für das Management hinter den IT-Teams ist die wichtigste Lehre, dass Zeit hier zum Schadensfaktor wird: CVE-2026-18577 war innerhalb von 24 Stunden als aktiv ausgenutzt markiert, während Microsoft den operativen Einsatz seit dem 02.08.2026 beobachtet. Das heißt nicht, dass jede Organisation identisch betroffen sein muss, aber es erhöht den Druck, Assets systematisch nach „N-able-Nutzung“ und Exposition gegenüber der betroffenen Komponente zu priorisieren. Richtig umgesetzt, reduziert das die Wahrscheinlichkeit, dass ein einzelner Schwachstellenpfad in eine schnell drehende Verschlüsselungskette mündet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»
Ergänzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschließen können, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: «StormEncryptor-Ransomware: N-able-Lücke CVE-2026-18577 wird aktiv ausgenutzt».