Microsoft advirtió que el grupo vinculado a China conocido como Storm-1175 comenzó a desplegar el nuevo cifrador llamado StormEncryptor el 2 de agosto tras la divulgación de una falla en N-central, la consola de gestión remota de N-able, lo que puede permitir que un proveedor comprometido extienda el ataque entre sus clientes.
Por qué importa: la vulnerabilidad reportada, CVE-2026-18577, daría acceso no autenticado con privilegios totales a servidores RMM, convirtiendo un MSP comprometido en un vector para múltiples incidentes de ransomware.
Lo esencial
- Microsoft atribuye a Storm-1175 el despliegue de una nueva familia, StormEncryptor, desde el 2 de agosto.
- La falla identificada es CVE-2026-18577 en N-central, un RMM usado por miles de proveedores gestionados.
- N-able y la firma Huntress informaron incidentes y movimientos rápidos entre hosts downstream, aunque el número total de afectados no se ha divulgado.
StormEncryptor y el actor Storm-1175
Microsoft Threat Intelligence describió a Storm-1175 como un actor con motivación financiera que anteriormente usó la familia Medusa contra organizaciones en salud, servicios profesionales y finanzas en Australia, Reino Unido y EE. UU. En esta campaña la firma observó el despliegue de StormEncryptor a partir del 2 de agosto.
La señal temporal entre la divulgación de la falla y las primeras detecciones llevó a Microsoft a vincular la campaña con la explotación de la vulnerabilidad en N-central, aunque la compañía reconoce que no ha confirmado formalmente el vector de acceso en todos los casos.
Cómo aprovecha CVE-2026-18577 en N-central
Huntress describió la falla como un acceso no autenticado con privilegios equivalentes a "modo dios" que permite control administrativo de un servidor N-central sin credenciales. Dado que muchos MSPs usan esa consola para gestionar endpoints de clientes, un servidor comprometido puede actuar como pasarela hacia numerosas máquinas a su cargo.
N-able señaló que detectó un ataque zero-day el 31 de julio y que el primer parche no resolvió completamente el problema, por lo que emitió un hotfix de emergencia el 2 de agosto.
