Storm-1175 abandonne Medusa pour StormEncryptor et exploite le bypass d'authentification N-central CVE-2026-18577

Rapport CTI technique du 11 août 2026

Résumé exécutif

Microsoft Threat Intelligence a identifié le 10 août 2026 une nouvelle souche de ransomware baptisée StormEncryptor, déployée par le groupe cybercriminel chinois Storm-1175. Il s'agit de la première activité observée de cet acteur depuis avril 2026 et d'une rupture nette avec son mode opératoire habituel : Storm-1175 utilisait jusqu'ici presque exclusivement Medusa comme charge finale. Le vecteur d'accès initial le plus probable est CVE-2026-18577, une faille de contournement d'authentification dans N-central, la plateforme de supervision et de gestion à distance (RMM) éditée par N-able et largement utilisée par les prestataires de services managés (MSP).

CVE-2026-18577 n'est pas une nouvelle vulnérabilité isolée : c'est un contournement du correctif appliqué à CVE-2026-18556, une première faille d'authentification déjà exploitée dans la nature. N-able a publié un hotfix d'urgence (2026.3.1.7) le 2 août, puis a dû reconnaître que la portée de l'incident dépassait ce que le premier correctif couvrait. Parce que N-central sert de porte d'entrée vers les parcs informatiques de multiples clients en aval, la compromission d'un seul serveur RMM peut se propager à toutes les organisations administrées par ce serveur, un scénario de risque de chaîne d'approvisionnement caractéristique des attaques contre les plateformes MSP.

Chronologie

Fiche vulnérabilité (format fiche CTI)

CVE-2026-18577 | CVSS 4.0 : 8.2 | N-able N-central, toutes versions antérieures à 2026.3.1.7

Contournement d'authentification par canal alternatif (CWE-288), qualifié par N-able de « unauthenticated administrative account takeover ». Il s'agit d'un bypass du correctif de CVE-2026-18556 : la version 2026.2 avait fermé le premier chemin d'exploitation identifié, mais un chemin alternatif permettant le même résultat, une prise de contrôle administrative sans authentification, est resté exploitable jusqu'à la version 2026.3.1.7. N-able n'a publié aucun détail de niveau code sur l'endpoint ou la séquence de requêtes vulnérable, une réticence habituelle sur ce type de faille tant que l'exploitation reste massive. Conditions d'exploitation : accès réseau à l'interface N-central (hébergée ou on-premises), aucune authentification préalable requise. PoC disponible : non publié publiquement à ce jour, mais l'exploitation active dans la nature démontre qu'un exploit fonctionnel circule déjà chez au moins un groupe d'attaquants. Patch/mitigation : mise à niveau vers 2026.3.1.7 obligatoire, y compris pour les clients ayant déjà appliqué la version 2026.3 simple, jugée insuffisante après coup.

CVE-2026-18556 | CVSS 4.0 : 8.2 | N-able N-central, versions antérieures à 2026.2

Vulnérabilité originelle de contournement d'authentification (CWE-288) dont le correctif incomplet a donné naissance à CVE-2026-18577. Corrigée en 2026.2, mais la classe de vulnérabilité sous-jacente n'a été traitée que partiellement, ouvrant la voie à la variante ultérieure.

Fiche d'acteur : Storm-1175

Storm-1175 est un acteur financièrement motivé, attribué à la Chine par Microsoft, actif de longue date contre des cibles exposées sur Internet via une combinaison de zero-days et de vulnérabilités n-day. Son historique d'exploitation inclut Mirth Connect (CVE-2023-37679, CVE-2023-43208), ConnectWise ScreenConnect (CVE-2024-1709, CVE-2024-1708), JetBrains TeamCity (CVE-2024-27198, CVE-2024-27199), Fortinet FortiClient EMS (CVE-2023-48788), Fortra GoAnywhere (CVE-2025-10035), SmarterTools SmarterMail, Microsoft Exchange et Ivanti Connect Secure. Jusqu'à cette campagne, la charge finale de prédilection du groupe était Medusa. StormEncryptor marque le premier abandon documenté de cet outil au profit d'un ransomware maison écrit en C++, ce qui suggère soit une rupture avec l'affiliation Medusa, soit une volonté de brouiller l'attribution technique tout en conservant le même mode opératoire de compromission rapide.

Diagramme de la chaîne d'attaque

Chaîne reconstruite à partir des publications Microsoft Threat Intelligence, N-able et BleepingComputer (10 août 2026).

Analyse technique

Étape 1 : accès initial via le bypass d'authentification N-central

L'attaquant atteint l'interface de gestion N-central (instance hébergée ou on-premises exposée) et exploite CVE-2026-18577 pour obtenir un accès administratif sans authentification préalable. N-able n'a pas publié le détail du chemin d'exploitation, mais le résultat observé, une prise de contrôle complète du serveur RMM, est cohérent avec un contournement de la couche d'authentification plutôt qu'avec une élévation de privilèges post-authentification.

Étape 2 : persistance et tunneling sortant

Une fois administrateur du serveur N-central, l'attaquant enregistre un service nommé Cloudflared, l'utilitaire de tunneling légitime de Cloudflare, pour établir une connexion sortante vers l'infrastructure Cloudflare Edge. Ce choix contourne toute règle de pare-feu entrante : aucun port en écoute n'est nécessaire côté victime, et le trafic ressemble à du trafic HTTPS sortant légitime vers un service cloud connu. N-able confirme que ce mécanisme de persistance a survécu à la révocation de l'accès initial au serveur N-central, ce qui signifie qu'une simple mise à jour du logiciel RMM ne suffit pas à éradiquer la compromission si le tunnel a déjà été déployé sur des machines gérées.

Étape 3 : usage abusif de Take Control pour atteindre les endpoints gérés

Depuis le serveur N-central compromis, l'attaquant utilise la fonctionnalité légitime Take Control pour rebondir vers les postes et serveurs administrés par ce serveur RMM. C'est le point critique du risque de chaîne d'approvisionnement : un seul serveur N-central compromis expose potentiellement l'ensemble du parc d'un MSP, voire de plusieurs clients de ce MSP.

Étape 4 : collecte de credentials et reconnaissance

Sur les endpoints atteints, Storm-1175 déploie AnyDesk ou SimpleHelp pour la gestion à distance, Advanced IP Scanner pour la découverte réseau, puis dump la mémoire LSASS avec Mimikatz pour récupérer des identifiants supplémentaires. Cette combinaison d'outils est identique à celle documentée dans les campagnes Medusa antérieures du groupe : seule la charge finale a changé, pas la tradecraft de post-exploitation.

Étape 5 : exfiltration puis déploiement de StormEncryptor

Storm-1175 passe de l'accès initial à l'exfiltration de données puis au déploiement du ransomware en quelques jours seulement, un rythme opérationnel que Microsoft qualifie explicitement de rapide dans son avis. StormEncryptor, écrit en C++, ajoute l'extension .encrypted aux fichiers chiffrés et dépose une note de rançon nommée !!!README_FIRST!!!.txt dans chaque répertoire parcouru, laissant trois jours à la victime pour négocier avant publication des données volées.

Indicateurs de compromission

Note de fiabilité : Huntress a précisé que quatre des adresses IP publiées initialement par N-able correspondaient à des nœuds de sortie Mullvad ou NordVPN, donc à du trafic VPN mutualisé plutôt qu'à une infrastructure dédiée à l'attaquant. Ces IP restent utiles pour la corrélation mais ne doivent pas être bloquées aveuglément sans analyse du contexte. Aucun hash de fichier fiable pour l'échantillon StormEncryptor n'a pu être confirmé à partir de sources concordantes au moment de la rédaction ; il est volontairement omis plutôt que reproduit de façon incertaine.

MITRE ATT&CK

Cartographie construite à partir des éléments techniques confirmés par Microsoft, N-able et Huntress. Aucune cartographie officielle n'a été publiée par ces sources ; il s'agit d'une lecture technique et non d'une attribution vendeur.

Remédiation : checklist opérationnelle

1. Mettre à niveau immédiatement tous les serveurs N-central vers la version 2026.3.1.7, y compris les instances déjà passées en 2026.3 simple : ce palier intermédiaire ne corrige pas CVE-2026-18577.
2. Pour les instances hébergées (NCOD), vérifier auprès de N-able que la mise à jour automatique a bien été appliquée plutôt que de supposer qu'elle l'a été.
3. Rechercher sur chaque endpoint géré la présence d'un service nommé Cloudflared non justifié par un usage métier documenté, et le désinstaller après investigation.
4. Rechercher un fichier svchost.exe dans les dossiers Documents des profils utilisateurs, un chemin d'exécution atypique pour ce binaire.
5. Corréler les journaux ui_access_control.log avec C:\ProgramData\GetSupportService_N-Central\Logs\BASupSrvc_*.log.gz pour détecter un usage anormal de Take Control, en gardant à l'esprit que ces logs apparaissent aussi en usage légitime.
6. Traiter toute correspondance avec les IP publiées comme un point de départ d'investigation, pas comme une preuve de compromission à elle seule, compte tenu de la contamination par du trafic VPN mutualisé.
7. Auditer les sessions associées à des identités de support N-able (mspsupport@n-able.com) pour écarter toute usurpation.
8. Si une compromission est confirmée sur un serveur N-central, ne pas se limiter à la mise à jour du logiciel : traiter chaque endpoint atteint via Take Control comme potentiellement compromis et rechercher la persistance de façon indépendante.
9. Envisager la restriction de l'exposition Internet directe de l'interface d'administration N-central, quand l'architecture du MSP le permet, en la plaçant derrière un accès VPN ou une liste blanche d'IP.
10. Surveiller les indicateurs comportementaux de StormEncryptor (extension .encrypted, note !!!README_FIRST!!!.txt) sur l'ensemble du parc, pas uniquement sur les systèmes ayant hébergé N-central.

Sources

• China-Linked Hackers Deploy New StormEncryptor Ransomware, Likely via N-central Flaw
• New StormEncryptor ransomware used by former Medusa affiliate
• N-able warns of N-central auth bypass flaw exploited in attacks
• N-able Says Attackers Take Over N-central Servers After Initial Fix Proves Incomplete
• Critical N-able N-central Vulnerability and Active Exploitation