Команда Microsoft Threat Intelligence зафіксувала появу нового здирницького програмного забезпечення StormEncryptor, яке використовує китайська група Storm-1175. Хакери відмовилися від раніше застосовуваного вимагача Medusa на користь нової програмної розробки на мові C++. StormEncryptor шифрує файли на компрометованих вузлах, додає до них розширення .encrypted та залишає в кожному сканованому каталозі текстову інструкцію під назвою !!!README_FIRST!!!.txt.

Первинне проникнення відбувається через експлуатацію вразливості CVE-2026-18577 у системі моніторингу N-able N-central, яка є способом обходу патча для CVE-2026-18556 і дозволяє обходити автентифікацію. Вразливість внесено Агентством CISA до списку активно експлуатованих. Після проникнення зловмисники застосовують AnyDesk, SimpleHelp, Advanced IP Scanner та утиліту Mimikatz для дампінгу пам’яті LSASS і викрадення облікових даних перед шифруванням.