Storm-1175: Die chinesische Gruppe, die Medusa-Ransomware ueber Zero-Days in weniger als 24 Stunden verteilt

Am 6. April 2026 veroeffentlichte Microsoft eine detaillierte Analyse von Storm-1175, einem finanziell motivierten chinesischen Bedrohungsakteur, der "Hochgeschwindigkeits"-Angriffe mit einer Kombination aus Zero-Day- und N-Day-Schwachstellen orchestriert, um Medusa-Ransomware zu verteilen. Der alarmierendste Befund: In ausgewaehlten Vorfaellen bewegt sich Storm-1175 von der Erstkompromittierung zur Datenexfiltration und Ransomware-Verteilung in weniger als 24 Stunden.

Vor der Offenlegung ausgenutzte Zero-Days: SmarterMail und GoAnywhere

Storm-1175 hat kuerzlich zwei kritische Schwachstellen als Zero-Days ausgenutzt: CVE-2026-23760 in SmarterMail und CVE-2025-10035 in GoAnywhere Managed File Transfer. Beide wurden eine volle Woche vor der oeffentlichen Offenlegung ausgenutzt. In juengsten Kampagnen hat die Gruppe mehr als 16 Schwachstellen in 10 Softwareprodukten ausgenutzt, darunter Microsoft Exchange, PaperCut, Ivanti Connect Secure, ConnectWise ScreenConnect, JetBrains TeamCity, SimpleHelp, CrushFTP und BeyondTrust.

Angriffsanatomie: Von der Kompromittierung zur Ransomware in 24 Stunden

Microsoft rekonstruierte die Angriffskette von Storm-1175: Erstausnutzung zielt auf web-facing Assets mit hohem operativen Tempo. Von einer kompromittierten SmarterMail-Anwendung aus aendert der Akteur die Firewall und aktiviert Remote Desktop fuer laterale Bewegung. Fuer Persistenz erstellt die Gruppe neue Benutzerkonten, verteilt Web-Shells und installiert legitime RMM-Software. Fuer Zugangsdatendiebstahl und laterale Bewegung verwendet Storm-1175 Impacket und PDQ Deployer. Die Datenexfiltration nutzt Bandizip zur Kompression und Rclone zum Transfer in vom Angreifer kontrollierten Cloud-Speicher.

Eine besonders ausgefeilte Evasionsmethode: Storm-1175 verwendet kodierte PowerShell-Befehle, um das gesamte Laufwerk C:\ zum Antivirus-Ausschlusspfad hinzuzufuegen. Dieser einzelne Befehl deaktiviert effektiv den gesamten Endpoint-Schutz.

Doppelte Erpressung: Erst exfiltrieren, dann verschluesseln

Medusa betreibt ein Doppelerpressungsmodell: Vor der Ransomware-Aktivierung werden alle sensiblen Daten auf vom Angreifer kontrollierte Server exfiltriert. FBI und CISA haben dokumentiert, dass Medusa bis Februar 2025 ueber 300 Organisationen im Bereich kritischer Infrastrukturen erfolgreich kompromittiert hat. Die am staerksten betroffenen Sektoren sind Gesundheitswesen, Bildung, professionelle Dienstleistungen und Finanzen in Australien, dem Vereinigten Koenigreich und den USA.

Der China-Nexus: Kriminalitaet oder Staat?

Microsoft klassifiziert Storm-1175 als "finanziell motiviert" und in China ansaessig. Die Grenze zwischen Cyberkriminalitaet und staatlichen Operationen in der chinesischen Landschaft ist jedoch bekanntermaassen unscharf. Die Kombination aus Zero-Day-Exploitation, extremer Betriebsgeschwindigkeit und gezieltem Angriff auf kritische Sektoren deutet auf einen Akteur mit erheblichen Ressourcen und moeglicher institutioneller Unterstuetzung hin.

Ausgenutzte Schwachstellen: Das Arsenal von Storm-1175

• CVE-2026-23760 — SmarterMail: Authentifizierungs-Bypass (Zero-Day)
• CVE-2025-10035 — GoAnywhere MFT: unbefugter Zugriff (Zero-Day)
• Microsoft Exchange — OWASSRF-Kette und verwandte Schwachstellen
• PaperCut — kritische Druckmanagement-Schwachstellen
• Ivanti Connect Secure — Enterprise-VPN-Authentifizierungs-Bypass
• ConnectWise ScreenConnect — Remote Code Execution
• JetBrains TeamCity — CI/CD-Pipeline-Kompromittierung
• SimpleHelp, CrushFTP, BeyondTrust — diverse kritische Schwachstellen

Beobachtete Tools und TTPs

• LOLBins: PowerShell und PsExec fuer laterale Bewegung und Befehlsausfuehrung
• Impacket: Toolkit fuer Windows-Protokoll-Interaktion (SMB, WMI, DCE/RPC)
• PDQ Deployer: missbraucht fuer laterale Payload- und Ransomware-Verteilung
• Rclone: Datenexfiltration zu vom Angreifer kontrolliertem Cloud-Speicher
• Bandizip: Datenkompression vor der Exfiltration
• Web-Shells: Persistenz auf kompromittierten Webservern
• Legitime RMM-Software: Persistenz und Command & Control
• Kodierter PowerShell: Antivirus-Ausnahmen zur Deaktivierung des Schutzes

Operative Empfehlungen

1. 1.Prioritaeres Patching der Zielprodukte: SmarterMail, GoAnywhere MFT, Microsoft Exchange, PaperCut, Ivanti Connect Secure, ConnectWise, JetBrains TeamCity, SimpleHelp, CrushFTP und BeyondTrust sofort aktualisieren.
2. 2.Ueberwachung der Antivirus-Ausnahmen: automatische Warnungen fuer jede Aenderung an Microsoft Defender oder anderen AV/EDR-Ausnahmen implementieren.
3. 3.Rclone und Exfiltrationstools blockieren: Rclone hat in den meisten Enterprise-Umgebungen keine legitime Verwendung.
4. 4.PDQ Deployer ueberwachen: wenn nicht legitim verwendet, Ausfuehrung blockieren.
5. 5.Haertung web-exponierter Assets: Angriffsflaeche minimieren, WAF einsetzen.
6. 6.Netzwerksegmentierung: laterale Bewegung durch rigorose Segmentierung einschraenken.
7. 7.Offline-Backups: air-gapped, verschluesselt und regelmaessig getestet.
8. 8.Incident-Response-Plan unter 24 Stunden: Eindaemmung in Stunden, nicht Tagen ermoeglichen.

Fazit: Die neue Geschwindigkeit der Ransomware

Storm-1175 repraesentiert die gefaehrlichste Evolution moderner Ransomware: ein Akteur mit Zero-Day-Zugang, extremer Betriebsgeschwindigkeit und der Faehigkeit, von der Erstkompromittierung zur Ransomware-Verteilung in unter 24 Stunden ueberzugehen. Fuer europaeische Organisationen ist die Botschaft klar: Patching kann nicht mehr auf das naechste geplante Wartungsfenster warten. Die Luecke zwischen "Schwachstelle veroeffentlicht" und "Netzwerk kompromittiert" ist auf Null geschrumpft.