🔥 24 часа от входа до шифрования — Microsoft засекла, как китайский вымогатель бьёт через инструмент для MSP Группировка Storm-1175, известная финансовыми атаками на медицину и финансы в Австралии, Британии и США, 2 августа начала развёртывать новый шифровальщик StormEncryptor. По данным therecord, Microsoft Threat Intelligence подозревает эксплуатацию критической уязвимости в N-central — консоли удалённого мониторинга от N-able, которую тысячи поставщиков MSP используют для управления конечными точками клиентов. Уязвимость даёт неаутентифицированный административный доступ к серверу N-central. Huntress назвала это «режимом бога» без каких-либо учётных данных. Один скомпрометированный поставщик открывает ворота ко всем конечным точкам, которыми он управляет. Механика та же, что в атаках REvil через Kaseya в 2021-м и в инциденте с ScreenConnect в 2024-м. Тогда пострадали тысячи зависимых организаций. N-able зафиксировала атаку с использованием неизвестной уязвимости ещё 31 июля. Но исправление не сработало. Атакующие нашли обход, и 2 августа компания выпустила экстренное исправление. Четырьмя днями позже — второе: первое оказалось недостаточным. Huntress тем временем обнаружила, что более половины облачных серверов N-central у их партнёров оставались без исправлений. Среди самостоятельно развёрнутых экземпляров открытыми были 28,6%. Huntress предупредила: тем, кто не может существенно сократить поверхность атаки, возможно, придётся просто выключить инструмент. Но отключение N-central означает потерю централизованной видимости, управления обновлениями и удалённого доступа. Именно тогда, когда они нужнее всего. Темп кампании меня цепляет сильнее самой уязвимости. Storm-1175 и раньше уходили от начального доступа до полного шифрования за те же сутки. Поставщик MSP живёт в мире, где злоумышленник входит в среду утром, а к вечеру клиент уже читает записку с требованием выкупа. SOC, настроенный на разбор предупреждений к утру следующего дня, здесь принципиально не спасает. #Storm1175 #вымогатель #MSP #Ncentral