Microsoft alerta de ataques de ransomware a través de N-central

Microsoft Threat Intelligence ha advertido de una campaña en la que el grupo Storm-1175, vinculado a China y con motivaciones económicas, estaría explotando una vulnerabilidad crítica de N-central para desplegar ransomware en las redes de clientes administradas por proveedores de servicios gestionados. Los despliegues del nuevo ransomware StormEncryptor comenzaron el 2 de agosto, según la compañía.

N-central es una consola de monitorización y gestión remota (RMM) desarrollada por N-able y utilizada por miles de proveedores para administrar equipos de sus clientes. Microsoft considera probable que Storm-1175 esté aprovechando CVE-2026-18577, aunque no ha confirmado formalmente que esa sea la vía de acceso. La campaña comenzó el mismo día en que se divulgó la vulnerabilidad.

La vulnerabilidad permite obtener acceso no autenticado con privilegios administrativos completos sobre un servidor N-central. Huntress describió ese nivel de acceso como “god-mode” y explicó que un atacante no necesita credenciales para tomar el control del servidor. Debido a la arquitectura de estas herramientas, una intrusión en un proveedor puede convertirse en un punto de entrada a todos los endpoints que administra y generar una cadena de incidentes de ransomware entre sus clientes.

Microsoft señaló que Storm-1175 ya había utilizado el ransomware Medusa para extorsionar a organizaciones de los sectores sanitario, servicios profesionales y financiero en Australia, Reino Unido y Estados Unidos. En abril, el grupo fue descrito como responsable de campañas de ransomware de alta velocidad que explotaban vulnerabilidades recién divulgadas y fallos de día cero, en algunos casos hasta una semana antes de que se hiciera pública la información. La compañía afirmó entonces que los atacantes podían pasar del acceso inicial al cifrado completo en menos de 24 horas.

El incidente recuerda a anteriores ataques contra herramientas RMM. En 2021, una intrusión en el producto de Kaseya permitió al grupo REvil comprometer inicialmente a 60 clientes directos y posteriormente afectar a unas 1.500 empresas situadas aguas abajo. En 2024, otra campaña contra ScreenConnect, de ConnectWise, provocó numerosos ataques de ransomware posteriores. Microsoft indicó que Storm-1175 se encontraba entre los actores que atacaron ScreenConnect en aquel momento.

N-able comunicó que había contactado con un número limitado de clientes afectados. Huntress confirmó que algunos de sus propios clientes habían sufrido impactos y publicó una cronología de dos incidentes en los que los atacantes se desplazaron rápidamente entre sistemas posteriores. Ninguna de las compañías ha comunicado una estimación del número total de organizaciones afectadas.

N-able indicó que la vulnerabilidad fue detectada inicialmente durante un ataque de día cero el 31 de julio, aunque no está claro si el responsable de esa intrusión era Storm-1175. La empresa también explicó que el fallo resultó difícil de corregir: los atacantes encontraron una forma de eludir el primer parche, por lo que N-able distribuyó una actualización urgente el 2 de agosto y una segunda el 6 de agosto, tras advertir que la primera no era suficiente.

La disponibilidad de los parches no había eliminado la exposición. Huntress afirmó que más de la mitad de los servidores N-central accesibles en la nube dentro de su base de socios seguían sin actualizarse, mientras que el 28,6% de las instancias autogestionadas permanecían expuestas. La firma recomendó valorar la desconexión de N-central en entornos de mayor riesgo donde no sea posible reducir de forma significativa la exposición, aunque advirtió de que dejar la herramienta fuera de línea también implica perder visibilidad centralizada, capacidad de parcheado y acceso remoto.

La información fue publicada por The Record: https://therecord.media/china-hackers-ransomware-microsoft.

Fuente: The Record