Storm-1175: Il Gruppo Cinese Che Distribuisce Medusa Ransomware Sfruttando Zero-Day in Meno di 24 Ore

Il 6 aprile 2026, Microsoft ha pubblicato un'analisi dettagliata su Storm-1175, un attore cinese finanziariamente motivato che sta orchestrando attacchi "ad alta velocità" sfruttando una combinazione di zero-day e vulnerabilità N-day per distribuire il ransomware Medusa. Il dato che rende questa campagna particolarmente allarmante è il tempo di esecuzione: in alcuni casi, Storm-1175 passa dalla compromissione iniziale all'esfiltrazione dei dati e al deployment del ransomware in meno di 24 ore. Non giorni, non settimane — ore. Questo ritmo operativo lascia alle vittime una finestra di risposta praticamente inesistente.

Zero-Day Sfruttati Prima della Disclosure: SmarterMail e GoAnywhere

Storm-1175 ha recentemente sfruttato due vulnerabilità critiche come zero-day — ovvero prima della loro divulgazione pubblica: CVE-2026-23760 in SmarterMail, un server email e piattaforma di collaborazione ampiamente utilizzato, e CVE-2025-10035 in GoAnywhere Managed File Transfer. Entrambe le vulnerabilità sono state sfruttate una settimana prima della disclosure pubblica, dando al gruppo un vantaggio temporale devastante: le vittime non sapevano nemmeno che la vulnerabilità esistesse mentre venivano già compromesse.

CVE-2026-23760 è un bypass dell'autenticazione in SmarterMail che consente l'accesso non autorizzato al server email. Per un attaccante, compromettere un server email significa accesso immediato a comunicazioni interne, credenziali, documenti allegati e — nel caso di organizzazioni sanitarie — dati dei pazienti. CVE-2025-10035 in GoAnywhere MFT è particolarmente critica perché GoAnywhere è utilizzato per il trasferimento sicuro di file tra organizzazioni — un bersaglio perfetto per l'esfiltrazione massiva di dati sensibili.

Anatomia dell'Attacco: Dalla Compromissione al Ransomware in 24 Ore

Microsoft ha ricostruito la catena di attacco di Storm-1175 in fasi distinte. La prima fase è lo sfruttamento iniziale: il gruppo identifica asset web-facing vulnerabili con una velocità e una competenza che Microsoft definisce "alta operatività". La scansione è continua e sistematica — quando una nuova vulnerabilità diventa disponibile (o il gruppo ne scopre una zero-day), gli asset esposti vengono compromessi in ore.

Dalla compromissione di un'applicazione SmarterMail, Storm-1175 modifica il firewall e abilita l'accesso Remote Desktop per il movimento laterale, scrivendo i risultati dei comandi in file TXT. Nella fase di persistenza, il gruppo crea nuovi account utente, distribuisce web shell e installa software di Remote Monitoring and Management (RMM) legittimo per mantenere l'accesso. L'uso di strumenti legittimi è tattico: gli RMM non vengono rilevati dagli antivirus perché sono software autorizzati.

Per il furto di credenziali e il movimento laterale, Storm-1175 utilizza Impacket — un toolkit open-source per l'interazione con protocolli di rete Windows — e PDQ Deployer, uno strumento di deployment software che viene abusato per distribuire sia strumenti di movimento laterale che il payload finale del ransomware Medusa attraverso tutta la rete. Infine, per l'esfiltrazione dei dati, il gruppo utilizza Bandizip per la compressione e Rclone per il trasferimento verso storage cloud controllato dall'attaccante.

La Tecnica Anti-Detection: Escludere l'Intero Disco dall'Antivirus

Un aspetto particolarmente sofisticato è la tecnica di evasione della detection: Storm-1175 utilizza comandi PowerShell codificati per aggiungere l'intero disco C:\ al percorso di esclusione dell'antivirus. Questo singolo comando disabilita di fatto l'intera protezione endpoint, impedendo alla soluzione di sicurezza di scansionare qualsiasi file sul disco. È brutalmente efficace: invece di cercare di eludere l'antivirus file per file, il gruppo lo acceca completamente con un singolo comando.

Doppia Estorsione: Esfiltrazione Prima, Cifratura Dopo

Medusa opera un modello di doppia estorsione: prima dell'attivazione del ransomware, tutti i dati sensibili vengono esfiltrati verso server controllati dall'attaccante. Questo significa che anche se la vittima ha backup perfetti e può ripristinare i sistemi senza pagare il riscatto per la decifratura, deve comunque affrontare la minaccia della pubblicazione dei dati rubati. Per le organizzazioni sanitarie — il settore più colpito — questo include dati dei pazienti, cartelle cliniche e informazioni mediche protette da normative come GDPR e HIPAA.

L'FBI e CISA hanno documentato che Medusa ha violato con successo oltre 300 organizzazioni nel settore delle infrastrutture critiche entro febbraio 2025, e la campagna è in accelerazione. I settori più colpiti nelle campagne recenti di Storm-1175 sono sanità, istruzione, servizi professionali e finanza, con un focus geografico su Australia, Regno Unito e Stati Uniti. Tuttavia, la natura globale degli attacchi — che sfruttano vulnerabilità in software utilizzato ovunque — significa che le organizzazioni europee sono ugualmente esposte.

Il Nesso Cinese: Crimine o Stato?

Microsoft classifica Storm-1175 come "finanziariamente motivato" e basato in Cina. Ma il confine tra cybercrime e operazioni statali nel panorama cinese è notoriamente sfumato. Il fatto che un gruppo cinese sfrutti zero-day — capacità tipicamente associate a risorse statali — per operazioni ransomware solleva interrogativi sulla reale natura dell'operazione. Alcuni analisti suggeriscono che gruppi come Storm-1175 operino con il tacito consenso dello Stato, che beneficia sia dei proventi finanziari sia dell'intelligence raccolta durante le intrusioni.

In alcuni incidenti, Storm-1175 ha concatenato exploit multipli (ad esempio OWASSRF) per attività post-compromissione, dimostrando un livello di sofisticazione tecnica che va oltre il tipico attore ransomware. La combinazione di zero-day exploitation, velocità operativa estrema e targeting di settori critici suggerisce un attore con risorse significative e possibile supporto istituzionale.

Vulnerabilità Sfruttate: L'Arsenal di Storm-1175

Nelle campagne recenti, Storm-1175 ha sfruttato oltre 16 vulnerabilità in 10 prodotti software:

• CVE-2026-23760 — SmarterMail: bypass dell'autenticazione (zero-day)
• CVE-2025-10035 — GoAnywhere MFT: accesso non autorizzato (zero-day)
• Microsoft Exchange — catena OWASSRF e vulnerabilità correlate
• PaperCut — sfruttamento di vulnerabilità critiche nel print management
• Ivanti Connect Secure — bypass dell'autenticazione in VPN enterprise
• ConnectWise ScreenConnect — esecuzione remota di codice
• JetBrains TeamCity — compromissione della pipeline CI/CD
• SimpleHelp — sfruttamento di software di remote support
• CrushFTP — vulnerabilità nel file transfer server
• BeyondTrust — escalation di privilegi in soluzioni PAM

Strumenti e TTPs Osservati

• LOLBins: PowerShell e PsExec per movimento laterale ed esecuzione comandi
• Impacket: toolkit per interazione con protocolli Windows (SMB, WMI, DCE/RPC)
• PDQ Deployer: abusato per deployment laterale di payload e ransomware
• Rclone: esfiltrazione dati verso cloud storage controllato dall'attaccante
• Bandizip: compressione dei dati prima dell'esfiltrazione
• Web shell: persistenza su server web compromessi
• Software RMM legittimo: persistenza e comando & controllo
• PowerShell codificato: aggiunta esclusioni antivirus per disabilitare la protezione

Raccomandazioni Operative

1. 1.Patching prioritario dei prodotti target: aggiornare immediatamente SmarterMail, GoAnywhere MFT, Microsoft Exchange, PaperCut, Ivanti Connect Secure, ConnectWise, JetBrains TeamCity, SimpleHelp, CrushFTP e BeyondTrust. La velocità di sfruttamento di Storm-1175 rende il patching urgente — il gruppo colpisce entro ore dalla disclosure.
2. 2.Monitoraggio delle esclusioni antivirus: implementare alert automatici per qualsiasi modifica alle esclusioni di Microsoft Defender o altri AV/EDR. L'aggiunta dell'intero disco C:\ alle esclusioni è un indicatore critico di compromissione attiva.
3. 3.Blocco di Rclone e tool di esfiltrazione: Rclone non ha usi legittimi nella maggior parte degli ambienti enterprise. Bloccarne l'esecuzione tramite AppLocker o policy EDR equivalenti.
4. 4.Monitoraggio di PDQ Deployer: se PDQ Deployer non è utilizzato legittimamente nell'ambiente, bloccarne l'esecuzione. Se è in uso, monitorare distribuzioni anomale fuori orario o verso sistemi inattesi.
5. 5.Hardening degli asset web-facing: ridurre al minimo la superficie di attacco esposta a Internet. Ogni applicazione web-facing deve essere dietro WAF, con accesso limitato e aggiornata costantemente.
6. 6.Segmentazione di rete: limitare il movimento laterale con segmentazione rigorosa. Il deployment di ransomware via PDQ Deployer attraverso l'intera rete richiede connettività piatta — la segmentazione lo impedisce.
7. 7.Backup offline e testati: la doppia estorsione rende i backup necessari ma non sufficienti. Assicurarsi che i backup siano offline (air-gapped), cifrati e testati regolarmente per il ripristino.
8. 8.Incident Response Plan per ransomware sotto le 24 ore: data la velocità di Storm-1175, i piani di risposta agli incidenti devono prevedere contenimento e risposta in ore, non giorni. Simulare scenari dove il ransomware viene distribuito entro 24 ore dalla compromissione iniziale.

Conclusione: La Nuova Velocità del Ransomware

Storm-1175 rappresenta l'evoluzione più pericolosa del ransomware moderno: un attore con accesso a zero-day, velocità operativa estrema e capacità di passare dalla compromissione iniziale al deployment del ransomware in meno di 24 ore. La combinazione di sofisticazione tecnica (zero-day exploitation, concatenamento di exploit, evasione degli AV) e obiettivo finanziario (doppia estorsione Medusa) crea un avversario che non lascia tempo per reagire.

Per le organizzazioni europee, il messaggio è chiaro: il patching non può più aspettare il prossimo ciclo di manutenzione programmata. Con Storm-1175 che sfrutta le vulnerabilità entro ore dalla disclosure — e in alcuni casi prima — la finestra tra "vulnerabilità pubblicata" e "rete compromessa" si è ridotta a zero. Chi non ha un processo di patching d'emergenza operativo oggi, lo avrà dopo l'incidente. Ma a quel punto, i dati saranno già stati esfiltrati e il ransomware già distribuito.