Ransomware StormEncryptor Muncul, Hacker China Jadi Sorotan

Kelompok peretas yang diduga memiliki keterkaitan dengan China kembali menjadi sorotan setelah Microsoft mengungkap kemunculan ransomware baru bernama StormEncryptor. Malware tersebut digunakan oleh kelompok Storm-1175, aktor ancaman siber yang diketahui memiliki motif finansial dan sebelumnya dikenal karena menyebarkan ransomware Medusa.

Kemunculan StormEncryptor menandai perubahan dalam pola serangan kelompok tersebut. Jika sebelumnya Storm-1175 banyak mengandalkan Medusa, kini mereka menggunakan ransomware baru yang ditulis menggunakan bahasa pemrograman C++.

Microsoft Threat Intelligence Team mengungkap, StormEncryptor bekerja dengan mengenkripsi file yang ditemukan pada sistem korban. Setelah proses enkripsi selesai, malware tersebut menambahkan ekstensi “.encrypted” pada nama file.

Tidak berhenti di sana, StormEncryptor juga meninggalkan catatan tebusan bernama “!!!README_FIRST!!!.txt” di setiap direktori yang dipindainya. Catatan tersebut digunakan untuk memberikan informasi kepada korban mengenai serangan ransomware dan instruksi yang harus dilakukan untuk mendapatkan kembali akses terhadap file.

Kemunculan ransomware baru ini menjadi perhatian karena Storm-1175 memiliki rekam jejak dalam mengeksploitasi berbagai celah keamanan pada sistem yang terhubung ke internet.

Diduga Eksploitasi Celah N-able N-central

Microsoft belum dapat memastikan secara pasti celah keamanan yang digunakan Storm-1175 dalam kampanye terbaru tersebut. Namun, perusahaan teknologi itu menduga serangan kemungkinan memanfaatkan CVE-2026-18577, sebuah kerentanan pada perangkat lunak N-able N-central.

CVE-2026-18577 disebut berkaitan dengan mekanisme patch bypass terhadap kerentanan sebelumnya, yakni CVE-2026-18556. Kedua celah tersebut dapat memungkinkan penyerang melewati proses autentikasi dan mengambil alih akun pada versi N-central yang rentan.

Risiko dari kerentanan tersebut semakin serius karena telah masuk dalam daftar celah keamanan yang diketahui aktif dieksploitasi di dunia nyata oleh Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat.

Jika celah pada perangkat lunak yang mengelola sistem dan perangkat secara jarak jauh tidak segera ditambal, penyerang berpotensi memperoleh akses awal ke lingkungan korban. Dari titik tersebut, mereka dapat melanjutkan serangan untuk mencari sistem lain, mencuri kredensial, mengambil data hingga menyebarkan ransomware.

Storm-1175 Punya Rekam Jejak Panjang

Storm-1175 bukan kelompok baru dalam dunia ransomware. Microsoft sebelumnya telah mengaitkan kelompok ini dengan sejumlah serangan yang memanfaatkan kerentanan pada berbagai produk teknologi. Beberapa target yang pernah dieksploitasi antara lain Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, dan Fortinet FortiClient EMS.

Kelompok tersebut juga pernah dikaitkan dengan eksploitasi CVE-2025-10035 pada Fortra GoAnywhere. Dalam analisis yang diterbitkan Microsoft pada Oktober 2025, kerentanan tersebut disebut digunakan untuk membantu penyebaran ransomware Medusa.

Riwayat tersebut menunjukkan pola yang relatif konsisten. Storm-1175 memanfaatkan kelemahan pada sistem yang dapat diakses dari internet untuk memperoleh akses awal sebelum melanjutkan serangan ke tahap berikutnya.

Kombinasikan Zero-Day dan N-Day

Microsoft menilai Storm-1175 memiliki kemampuan untuk memanfaatkan kombinasi zero-day dan N-day vulnerability dalam menjalankan serangannya. Zero-day merupakan celah keamanan yang belum memiliki perbaikan ketika pertama kali dieksploitasi. Sementara N-day adalah kerentanan yang sudah diketahui dan biasanya telah tersedia patch-nya, tetapi masih terdapat banyak sistem yang belum diperbarui.

Kombinasi tersebut menjadi berbahaya karena memberikan peluang bagi penyerang untuk bergerak cepat. Ketika sebuah kerentanan baru diumumkan, organisasi membutuhkan waktu untuk mengidentifikasi sistem yang terdampak, menguji patch, hingga menerapkannya ke seluruh lingkungan.

Dalam periode tersebut, sistem yang belum diperbarui dapat menjadi sasaran. Microsoft menyebut Storm-1175 memanfaatkan kondisi tersebut untuk melakukan serangan dengan kecepatan tinggi terhadap sistem yang rentan dan terhubung ke internet.

Manfaatkan AnyDesk hingga Mimikatz

Setelah memperoleh akses awal, Storm-1175 tidak langsung berhenti pada penyebaran ransomware. Kelompok tersebut diketahui menggunakan sejumlah alat untuk melakukan pengintaian dan memperluas kendali di dalam jaringan korban.

Microsoft menemukan penggunaan aplikasi AnyDesk dan SimpleHelp, yang merupakan perangkat remote monitoring and management atau RMM. Aplikasi semacam ini sebenarnya memiliki fungsi sah, seperti membantu administrator mengelola komputer dari jarak jauh.

Namun, di tangan penyerang, perangkat RMM dapat disalahgunakan untuk mempertahankan akses ke komputer korban tanpa menimbulkan kecurigaan. Storm-1175 juga menggunakan Advanced IP Scanner untuk melakukan discovery. Teknik tersebut memungkinkan penyerang memetakan perangkat yang tersedia dalam jaringan dan mencari target berikutnya.

Selain itu, kelompok tersebut diketahui menggunakan Mimikatz untuk melakukan LSASS dumping. Teknik ini berupaya mengambil informasi kredensial yang tersimpan dalam memori sistem Windows.

LSASS atau Local Security Authority Subsystem Service merupakan komponen penting Windows yang menangani berbagai proses autentikasi. Jika informasi kredensial berhasil diperoleh, penyerang dapat menggunakannya untuk mencoba mengakses akun atau sistem lain.

Hanya Butuh Beberapa Hari

Salah satu aspek yang paling mengkhawatirkan dari aktivitas Storm-1175 adalah kecepatannya. Microsoft mengatakan kelompok tersebut dapat berpindah dari tahap memperoleh akses awal menuju pengintaian, pencurian data, hingga penyebaran ransomware hanya dalam hitungan hari.

Pola tersebut membuat organisasi tidak memiliki banyak waktu untuk merespons setelah sebuah sistem berhasil ditembus. Semakin lama akses penyerang tidak terdeteksi, semakin besar peluang mereka memperluas kendali dan mencuri data penting.

Karena itu, Microsoft mengingatkan organisasi untuk segera menerapkan patch keamanan pada sistem yang terdampak, terutama perangkat yang terhubung langsung ke internet.

Kasus StormEncryptor juga memperlihatkan bahwa pertahanan terhadap ransomware tidak cukup hanya mengandalkan antivirus. Organisasi perlu memastikan seluruh sistem diperbarui secara rutin, memantau aktivitas akun dan akses jarak jauh, serta membatasi hak istimewa pengguna.

Kemunculan StormEncryptor menjadi pengingat bahwa celah keamanan yang belum ditambal dapat berubah menjadi pintu masuk serangan ransomware. Ketika akses awal berhasil diperoleh, Storm-1175 dapat bergerak cepat untuk memetakan jaringan, mencuri kredensial, mengekstraksi data, hingga akhirnya mengenkripsi file korban.