سوءاستفاده از آسیب‌پذیری N-central در حملات باج‌افزاری StormEncryptor
مایکروسافت این عامل تهدید را با نام Storm-1175 شناسایی و ردیابی می‌کند و معتقد است حملات باج‌افزاری StormEncryptor احتمالاً با سوءاستفاده از آسیب‌پذیری دور زدن احراز هویت با شناسه CVE-2026-18577 در ابزار N-central آغاز شده‌اند. N-central یک راهکار مانیتورینگ و مدیریت از راه دور (RMM) است که برای مدیریت سیستم‌ها و زیرساخت‌های سازمانی از راه دور استفاده می‌شود.
سابقه فعالیت Storm-1175 در حملات سایبری
مایکروسافت Storm-1175 را یک عامل تهدید مستقر در چین می‌داند. این عامل تهدید پیش‌تر با باج‌افزار مدوسا مرتبط بوده و با سوءاستفاده از آسیب‌پذیری‌های روز صفر و آسیب‌پذیری‌های N-Day در محصولات مختلف، سامانه‌های هدف را مورد حمله قرار داده است.
Storm-1175 در حملات قبلی خود از آسیب‌پذیری‌های موجود در محصولات زیر برای هدف قرار دادن سامانه‌ها استفاده کرده است:
- GoAnywhere MFT
- SmarterTools SmarterMail
- Microsoft Exchange
- Ivanti Connect Secure
- JetBrains TeamCity
این سابقه نشان می‌دهد باج‌افزار StormEncryptor تنها بخشی از فعالیت‌های Storm-1175 است؛ این عامل تهدید پیش‌تر نیز با سوءاستفاده از آسیب‌پذیری‌های مختلف، سامانه‌های سازمانی را هدف قرار داده است.
سازوکار رمزنگاری و اخاذی باج‌افزار StormEncryptor
محققان دریافتند باج‌افزار StormEncryptor با زبان برنامه‌نویسی C++ توسعه یافته و پس از رمزنگاری فایل‌ها، پسوند .encrypted را به نام آن‌ها اضافه می‌کند. همچنین این بدافزار پس از بررسی هر دایرکتوری، در آن یک یادداشت اخاذی (Ransom Note) با نام !!!README_FIRST!!!.txt قرار می‌دهد.
مهاجمان در این یادداشت اخاذی، سه روز به قربانیان فرصت می‌دهند تا با آن‌ها تماس بگیرند و درباره پرداخت باج مذاکره کنند. در غیر این صورت، تهدید می‌کنند که داده‌های سرقت‌شده را به‌صورت آنلاین منتشر خواهند کرد.
این روش نشان می‌دهد مهاجمان علاوه بر رمزنگاری فایل‌ها، از تهدید به افشای داده‌های سرقت‌شده نیز برای افزایش فشار بر قربانیان استفاده می‌کنند.
ابزارهای مورد استفاده Storm-1175 در حملات باج‌افزاری
مهاجمان پس از دستیابی به شبکه هدف، از AnyDesk و SimpleHelp برای مدیریت از راه دور سیستم‌ها استفاده کردند. همچنین آن‌ها Advanced IP Scanner را برای شناسایی شبکه و بررسی تجهیزات موجود در محیط هدف به کار گرفتند. مهاجمان در ادامه با استفاده از Mimikatz، اعتبارنامه‌های موجود در پردازه LSASS (Local Security Authority Subsystem Service) را استخراج کردند.
مایکروسافت اعلام کرده است Storm-1175 معمولاً پس از نفوذ اولیه، در مدت کوتاهی به مراحل بعدی حمله می‌رسد و در بسیاری از موارد، ظرف چند روز اقدام به استخراج داده‌ها و استقرار باج‌افزار StormEncryptor می‌کند. این شرکت از مدیرانی که سرورهای N-central خودمیزبان (Self-Hosted) را مدیریت می‌کنند، خواسته است برای ایمن‌سازی این زیرساخت‌ها هرچه سریع‌تر اقدام کنند.
همچنین مایکروسافت از سازمان‌ها خواسته است فعالیت‌های مرتبط با Storm-1175 را به‌طور مستمر مانیتور کرده و پچ‌های امنیتی را در سریع‌ترین زمان ممکن اعمال کنند.
انتشار پچ امنیتی برای CVE-2026-18577
شرکت N-able در تاریخ 2 آگوست برای آسیب‌پذیری CVE-2026-18577 یک هات‌فیکس (Hotfix) با شماره 2026.3 HF1 و Build 2026.3.1.7 منتشر کرد و از مشتریان خواست این به‌روزرسانی را هرچه سریع‌تر نصب کنند. نصب این هات‌فیکس می‌تواند از سوءاستفاده مهاجمان از این آسیب‌پذیری و حملات مرتبط با باج‌افزار StormEncryptor جلوگیری کند.
N-able پیش‌تر نیز از مدیران سیستم خواسته بود سرورهای خود را برای شناسایی شاخص‌های نفوذ (IoC) بررسی کنند. مهم‌ترین این شاخص‌ها عبارتند از:
- وجود فایل exe در پوشه Documents دستگاه‌های کاربران
- وجود یک سرویس ثبت‌شده با نام Cloudflared
- شناسایی ارتباطات ورودی از آدرس‌های IP اعلام‌شده در اطلاعیه امنیتی (Security Advisory)
این موارد می‌توانند نشانه‌ای از نفوذ به سرورهای N-central و فعالیت مهاجمان در محیط سازمان باشند.
