Acceso administrativo sin contraseña: Storm-1175 lleva a cabo un nuevo ataque a empresas explotando una vulnerabilidad en N‑central

Una vulnerabilidad en un sistema de gestión remota puede abrir a los atacantes el camino hacia decenas de empresas. Ese es el escenario que actualmente se asocia con la nueva campaña del grupo Storm-1175, que empezó a distribuir el cifrador desconocido StormEncryptor a través de servidores N-central.

Según el servicio de análisis de amenazas de Microsoft, Storm-1175 comenzó a usar StormEncryptor el 2 de agosto. Para el grupo, esta es la primera actividad registrada desde abril de 2026: ha cambiado notablemente de táctica. Anteriormente los atacantes empleaban el cifrador Medusa contra organizaciones de los sectores de salud, finanzas y servicios profesionales en Australia, Reino Unido y Estados Unidos.

StormEncryptor está escrito en C++ y, tras cifrar los archivos, les añade la extensión .encrypted. En cada directorio procesado, el malware coloca una nota !!!README_FIRST!!!.txt en la que exige un rescate. Microsoft Defender detecta la muestra como Ransom:Win64/StormEncryptor.

Microsoft aún no ha confirmado cómo exactamente los atacantes accedieron al sistema. Los expertos creen que Storm-1175 probablemente explota la vulnerabilidad crítica CVE-2026-18577 en N-central de N-able. El problema se divulgó el 2 de agosto y, al día siguiente, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. añadió la vulnerabilidad al catálogo de fallas explotadas activamente.

N-central permite a los proveedores de servicios gestionados administrar de forma remota los equipos de sus clientes. La vulnerabilidad permite eludir la autenticación y obtener privilegios administrativos sin credenciales. Por eso, si los atacantes comprometen un servidor del proveedor, obtendrán acceso a un gran número de sistemas conectados de distintas organizaciones.

N-able detectó por primera vez que la vulnerabilidad desconocida empezaba a ser explotada el 31 de julio. La compañía parcheó de emergencia la vulnerabilidad el 2 de agosto; sin embargo, los atacantes lograron eludir esa corrección. La segunda actualización de emergencia se publicó el 6 de agosto. El fabricante advirtió a los clientes que la primera corrección resultó insuficiente.

El alcance de la campaña actual aún se desconoce. N-able declaró que contactó a un "número limitado" de clientes afectados. La empresa Huntress también confirmó los ataques y registró que los atacantes se propagaron rápidamente por los sistemas relacionados, pero no indicó cuántas organizaciones sufrieron cifrado de datos.

Una vez que los atacantes obtienen acceso al sistema, Storm-1175 usa AnyDesk o SimpleHelp para control remoto, Advanced IP Scanner para buscar sistemas y Mimikatz para extraer credenciales del proceso LSASS. Microsoft había observado antes que el grupo, en menos de un día, pasaba desde el acceso inicial al robo de datos y al despliegue del cifrador.

Incluso después de que salieron las actualizaciones, una parte significativa de los servidores seguía siendo vulnerable. Según Huntress, más de la mitad de los servidores N-central en la nube accesibles desde internet entre los socios de la compañía aún no habían recibido la corrección. Entre las instancias autohospedadas, la proporción de sistemas sin proteger fue del 28,6%. Se recomienda a los propietarios de N-central instalar cuanto antes las últimas actualizaciones, comprobar si sus servidores han sido comprometidos y restringir el acceso al sistema desde internet.