Ransomware StormEncryptor ตัวใหม่ ถูกนำมาใช้ในการโจมตีโดยอดีตสมาชิกของกลุ่ม Medusa

ผู้ไม่หวังดีที่มุ่งหวังผลประโยชน์ทางด้านการเงิน ซึ่งก่อนหน้านี้เคยมีความเกี่ยวข้องกับปฏิบัติการของกลุ่มแรนซัมแวร์ Medusa กำลังปล่อยแรนซัมแวร์สายพันธุ์ใหม่ที่ชื่อว่า StormEncryptor

Microsoft Threat Intelligence กำลังติดตามผู้ไม่หวังดีรายนี้ในชื่อ Storm-1175 และระบุว่า การโจมตีล่าสุดน่าจะเกิดขึ้นหลังจากที่มีการใช้ประโยชน์จากช่องโหว่ Authentication-bypass (CVE-2026-18577) ในเครื่องมือ N-central ซึ่งเป็นเครื่องมือตรวจสอบ และจัดการจากระยะไกล (RMM)

เชื่อกันว่า Storm-1175 เป็นกลุ่มผู้ไม่หวังดีที่อยู่ในประเทศจีน ก่อนหน้านี้เคยมีความเชื่อมโยงกับกลุ่มแรนซัมแวร์ Medusa โดยมุ่งเป้าไปที่ระบบผ่านช่องโหว่แบบ Zero-day และ N-day ในผลิตภัณฑ์ต่าง ๆ รวมถึง GoAnywhere MFT, SmarterTools SmarterMail, Microsoft Exchange, Invanti Connect Secure และ JetBrains TeamCity

Microsoft ระบุว่า "การที่ Storm-1175 ปล่อย StormEncryptor ถือเป็นกิจกรรมแรกของผู้ไม่หวังดีรายนี้ที่ Microsoft Threat Intelligence ตรวจพบตั้งแต่เดือนเมษายนปี 2026 และเป็นการเปลี่ยนจากการใช้แรนซัมแวร์ Medusa ซึ่งเป็นสิ่งที่กลุ่มนี้เคยถูกระบุว่าใช้งานมาก่อน"

นักวิจัยพบว่า StormEncryptor เป็นมัลแวร์ที่เขียนด้วยภาษา C++ ซึ่งจะต่อท้ายไฟล์ที่ถูกเข้ารหัสด้วยนามสกุล ".encrypted" และทิ้งจดหมายเรียกค่าไถ่ที่ชื่อว่า '!!Unable to render embedded object: File (README_FIRST) not found.!!.txt' ไว้ในทุกโฟลเดอร์ที่สแกนพบ

จดหมายเรียกค่าไถ่กำหนดให้เหยื่อมีเวลา 3 วันในการติดต่อกับผู้โจมตีเพื่อเจรจาจ่ายเงินค่าไถ่ มิฉะนั้นข้อมูลที่ถูกขโมยไปจะถูกนำไปปล่อยบนอินเทอร์เน็ต

หลังจากเจาะเข้าสู่เครือข่ายเป้าหมายได้แล้ว ผู้โจมตีจะใช้ AnyDesk หรือ SimpleHelp สำหรับการจัดการจากระยะไกล, ใช้ Advanced IP Scanner ในการสำรวจเครือข่าย และใช้เครื่องมือ Mimikatz เพื่อดึงข้อมูล Credentials ออกมาจากโปรเซส Local Security Authority Subsystem Service (LSASS)

Microsoft ระบุว่า Storm-1175 จะเคลื่อนไหวอย่างรวดเร็วตั้งแต่เริ่มเจาะระบบ ไปจนถึงการขโมยข้อมูล และปล่อยตัวเข้ารหัสล็อกข้อมูล โดยขอให้ผู้ดูแลระบบที่จัดการเซิร์ฟเวอร์ N-central แบบติดตั้งเอง เร่งดำเนินการอัปเดตแพตช์เพื่อรักษาความปลอดภัยของระบบโดยทันที

Microsoft แจ้งเตือนว่า "ผู้ไม่หวังดีกลุ่มนี้ขึ้นชื่อเรื่องการโจมตีอย่างรวดเร็วตั้งแต่การเข้าถึงระบบครั้งแรก ไปสู่การขโมยข้อมูล และปล่อยแรนซัมแวร์ ซึ่งมักจะเกิดขึ้นภายในเวลาเพียงไม่กี่วัน"

"องค์กรต่าง ๆ ควรเฝ้าระวังกิจกรรมของ Storm-1175 และรีบอัปเดตแพตช์รักษาความปลอดภัยให้เร็วที่สุด"

ทางบริษัท N-able ได้จัดการแก้ไขช่องโหว่ CVE-2026-18577 ผ่านทาง Hotfix (2026.3 HF1/build 2026.3.1.7) ที่ปล่อยออกมาเมื่อวันที่ 2 สิงหาคม โดยแนะนำให้ลูกค้าติดตั้งแพตช์นี้ในทันที

ก่อนหน้านี้ N-able ได้แนะนำให้ผู้ดูแลระบบตรวจสอบสัญญาณของการถูกเจาะระบบ เช่น การพบไฟล์ svchost.exe ในโฟลเดอร์ Documents บนอุปกรณ์ของผู้ใช้, มีการลงทะเบียน Service ที่ชื่อว่า Cloudflared และการเชื่อมต่อ Inbound จากหมายเลข IP addresses ที่ระบุไว้ในประกาศแจ้งเตือน

ที่มา : Bleepingcomputer