Storm-1175 et Medusa : le ransomware qui exploite les failles en 48 heures
Le groupe Storm-1175 s’impose comme l’un des acteurs ransomware les plus véloces de 2026. Opérant le ransomware Medusa, cette menace exploite systématiquement plus de 16 vulnérabilités N-day et zero-day dans un délai de 24 à 48 heures après leur divulgation publique. Microsoft vient de publier une analyse détaillée de leurs opérations, révélant un niveau d’industrialisation rarement observé.
Une stratégie d’exploitation à haute vélocité
Ce qui distingue Storm-1175, c’est la rapidité d’exécution. Là où la plupart des groupes ransomware mettent plusieurs jours, voire semaines, à intégrer une nouvelle faille dans leur arsenal, Storm-1175 réduit ce délai à moins de 48 heures. Le groupe cible exclusivement les actifs exposés sur Internet : serveurs web, passerelles de messagerie et applications métier accessibles depuis l’extérieur.
Parmi les vulnérabilités exploitées, on retrouve notamment :
- CVE-2026-23760 : une faille zero-day dans SmarterMail, exploitée environ une semaine avant sa divulgation publique ;
- CVE-2025-31324 : une vulnérabilité SAP NetWeaver réutilisée dans des campagnes récentes ;
- Plus d’une dizaine d’autres CVE couvrant des technologies variées (VPN, CMS, messagerie).
Des secteurs critiques dans le viseur
Storm-1175 concentre ses attaques sur trois secteurs prioritaires : la santé, l’éducation et la finance. Ces cibles ne sont pas choisies au hasard : elles combinent une surface d’attaque étendue, des données sensibles à forte valeur et une pression opérationnelle qui pousse au paiement rapide de la rançon.
Le rapport de Microsoft Threat Intelligence détaille les tactiques post-exploitation du groupe :
- Déploiement d’outils de gestion à distance (RMM) légitimes pour maintenir l’accès ;
- Extraction de credentials via le dump LSASS pour le mouvement latéral ;
- Exfiltration de données massives avec Rclone vers des stockages cloud avant le chiffrement.
Le facteur zero-day : CVE-2026-23760
Le cas de la CVE-2026-23760 dans SmarterMail illustre parfaitement la dangerosité du groupe. Storm-1175 a exploité cette faille pendant près d’une semaine avant qu’elle ne soit publiquement documentée. Cette capacité à obtenir ou découvrir des zero-day positionne le groupe au-dessus de la moyenne des opérateurs ransomware classiques, qui se contentent généralement de N-days.
Cette approche « hybride » — combinant zero-days et exploitation ultra-rapide de failles connues — rend la défense particulièrement complexe. Les organisations ne peuvent plus compter uniquement sur le cycle de patch traditionnel.
Comment se protéger contre Storm-1175
Face à ce niveau de menace, plusieurs mesures s’imposent :
- Réduire la surface d’exposition : auditer et minimiser les actifs directement accessibles depuis Internet. Placer les applications critiques derrière un VPN ou un WAF correctement configuré ;
- Accélérer le cycle de patch : viser un délai inférieur à 24 heures pour les vulnérabilités critiques sur les actifs exposés. Automatiser le déploiement des correctifs lorsque c’est possible ;
- Surveiller les indicateurs post-exploitation : détecter les déploiements RMM non autorisés, les accès LSASS suspects et les transferts Rclone sortants ;
- Segmenter le réseau : limiter le mouvement latéral en isolant les systèmes critiques et en appliquant le principe du moindre privilège ;
- Sauvegardes hors ligne : maintenir des sauvegardes déconnectées et testées régulièrement pour résister au chiffrement et à la double extorsion.
Conclusion
Storm-1175 redéfinit le tempo des opérations ransomware. En combinant exploitation zero-day, weaponisation N-day en moins de 48 heures et ciblage méthodique de secteurs sensibles, le groupe Medusa impose aux équipes de sécurité un rythme de réponse sans précédent. La publication de l’analyse Microsoft fournit des IOC et des règles de détection essentiels à intégrer immédiatement dans vos outils de supervision.