Medan, MISTAR.ID - Microsoft mengungkap pergerakan kelompok peretas bermotif finansial asal China, Storm-1175, yang kini menyebarkan ransomware baru bernama StormEncryptor.

Tim Intelijen Ancaman Microsoft (Microsoft Threat Intelligence Team) mencatat penggunaan StormEncryptor menjadi pergeseran strategi kelompok tersebut. Sebelumnya, Storm-1175 diketahui aktif menggunakan ransomware Medusa dalam melancarkan serangannya.

"StormEncryptor ditulis dalam bahasa C++ dan menambahkan ekstensi nama file .encrypted pada file yang berhasil dienkripsi," tulis Microsoft melalui unggahan di platform Bluesky, dikutip dari Hacker News, Selasa (11/8/2026).

Setelah mengenkripsi file korban, Storm-1175 meninggalkan catatan tebusan atau ransom note bernama !!!README_FIRST!!!.txt di setiap direktori yang dipindai.

Microsoft belum memastikan celah keamanan utama yang digunakan dalam serangan tersebut. Namun, perusahaan menduga kuat Storm-1175 mengeksploitasi CVE-2026-18577 pada perangkat lunak N-able N-central untuk mendapatkan akses awal ke sistem korban.

Kerentanan tersebut diidentifikasi sebagai patch bypass terhadap CVE-2026-18556. Kedua celah keamanan itu memungkinkan pelaku melewati proses autentikasi hingga mengambil alih akun secara penuh pada sistem yang rentan.

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) juga telah memasukkan kerentanan tersebut ke dalam daftar kerentanan yang dieksploitasi secara aktif.

Rekam Jejak Storm-1175

Storm-1175 dikenal sebagai kelompok peretas berbasis di China yang kerap dikaitkan dengan penyebaran ransomware Medusa. Kelompok tersebut diketahui memanfaatkan sejumlah kerentanan pada sistem dan perangkat lunak populer, termasuk Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, hingga Fortinet FortiClient EMS.

Dalam laporan analisis pada Oktober 2025, Microsoft juga memetakan keterlibatan Storm-1175 dalam eksploitasi kerentanan kritis pada Fortra GoAnywhere, yakni CVE-2025-10035, untuk mendukung serangan ransomware Medusa.

Microsoft menyebut Storm-1175 memanfaatkan kombinasi kerentanan zero-day dan N-day dalam melancarkan serangan secara cepat. Pelaku memanfaatkan jeda antara pengungkapan kerentanan dan penerapan pembaruan keamanan oleh pengguna untuk menyerang sistem yang terhubung ke internet.

Aktivitas setelah berhasil memperoleh akses ke sistem, menurut Microsoft, mencakup penyalahgunaan alat pemantauan dan pengelolaan jarak jauh (RMM) seperti AnyDesk dan SimpleHelp.

Pelaku juga menggunakan Advanced IP Scanner untuk melakukan pemindaian jaringan serta mencuri kredensial melalui LSASS dumping dengan memanfaatkan Mimikatz.

Pergerakan Storm-1175 disebut berlangsung sangat cepat. Mulai dari memperoleh akses awal, mencuri data hingga mengenkripsi sistem menggunakan ransomware dapat dilakukan hanya dalam hitungan hari.

Microsoft mengimbau administrator sistem dan pelanggan untuk segera menerapkan pembaruan keamanan guna mengurangi risiko serangan dan mencegah sistem yang terhubung ke internet dieksploitasi. (hm25/CNBC Indonesia)