Microsoft Ungkap Ransomware Baru StormEncryptor, Disebar Hacker China Storm-1175

Raksasa teknologi Microsoft mengungkap aktivitas kelompok peretas bermotif finansial asal China bernama Storm-1175. Kelompok tersebut diketahui menyebarkan jenis ransomware baru bernama StormEncryptor yang sebelumnya belum pernah terdokumentasikan.

Temuan tersebut diungkap oleh Microsoft Threat Intelligence Team setelah mendeteksi perubahan strategi yang dilakukan Storm-1175.

Kelompok peretas itu sebelumnya diketahui aktif menggunakan ransomware Medusa, tetapi kini mulai beralih menggunakan StormEncryptor dalam serangan mereka.

Menurut Microsoft, penggunaan StormEncryptor menjadi indikasi adanya pergeseran strategi dari kelompok Storm-1175.

Cara Kerja Ransomware StormEncryptor

Ransomware StormEncryptor diketahui ditulis menggunakan bahasa pemrograman C++.

Ketika berhasil mengenkripsi sebuah file, StormEncryptor akan menambahkan ekstensi “.encrypted” pada nama file yang terdampak.

Setelah berhasil mengunci file target, kelompok Storm-1175 akan meninggalkan catatan tebusan atau ransom note bertajuk “!!README_FIRST!!!.txt” di setiap direktori yang terdampak.

Catatan tersebut digunakan untuk memberikan instruksi kepada korban setelah file mereka berhasil dienkripsi.

Temuan StormEncryptor menambah daftar ancaman ransomware yang terus berkembang, terutama dari kelompok peretas yang menjalankan serangan dengan motif finansial.

Diduga Eksploitasi Celah N-able N-central

Microsoft belum mengungkap secara pasti celah keamanan utama yang dimanfaatkan dalam rangkaian serangan terbaru tersebut.

Namun, perusahaan menduga kelompok tersebut mengeksploitasi CVE-2026-18577, kerentanan pada perangkat lunak N-able N-central, untuk memperoleh akses awal ke sistem korban.

Kerentanan tersebut diidentifikasi sebagai celah authentication bypass yang memungkinkan pelaku melewati proses autentikasi hingga berpotensi mengambil alih akun pada sistem yang rentan.

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) juga telah memasukkan kerentanan tersebut ke dalam daftar eksploitasi aktif di lapangan.

Rekam Jejak Hacker Storm-1175

Storm-1175 dikenal sebagai kelompok peretas berbasis di China yang sebelumnya kerap menyebarkan ransomware Medusa.

Dalam menjalankan aksinya, kelompok tersebut diketahui memanfaatkan berbagai kelemahan pada sistem populer seperti Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, hingga Fortinet FortiClient EMS.

Pada laporan Oktober 2025, Microsoft juga memetakan keterlibatan Storm-1175 dalam eksploitasi celah keamanan kritis CVE-2025-10035 pada Fortra GoAnywhere untuk melancarkan serangan ransomware Medusa.

Microsoft menilai kelompok tersebut kerap memanfaatkan kombinasi kerentanan zero-day dan N-day.

Para peretas memanfaatkan jeda waktu antara pengungkapan celah keamanan dengan pemasangan pembaruan atau patch oleh pengguna untuk menyerang sistem yang masih rentan.

Storm-1175 Gunakan AnyDesk hingga Mimikatz

Setelah memperoleh akses ke sistem korban, Storm-1175 dilaporkan menjalankan sejumlah tahapan lanjutan untuk memperluas serangan.

Aktivitas pascaperetasan atau post-compromise tersebut mencakup penyalahgunaan alat pemantauan jarak jauh seperti AnyDesk dan SimpleHelp.

Kelompok tersebut juga menggunakan Advanced IP Scanner untuk melakukan pemindaian jaringan.

Sementara untuk mencuri kredensial, Storm-1175 dilaporkan melakukan teknik LSASS dumping menggunakan Mimikatz.

Kombinasi berbagai alat tersebut memungkinkan kelompok peretas bergerak lebih jauh di dalam jaringan setelah berhasil memperoleh akses awal.

Dari Membobol Sistem hingga Ransomware Hanya Beberapa Hari

Pergerakan Storm-1175 dalam jaringan korban disebut berlangsung sangat cepat.

Mulai dari memperoleh akses awal, melakukan pencurian data atau data exfiltration, hingga akhirnya mengunci sistem menggunakan ransomware hanya membutuhkan waktu beberapa hari.

Kecepatan tersebut membuat organisasi yang menggunakan sistem rentan memiliki waktu yang relatif terbatas untuk mendeteksi dan menghentikan serangan sebelum ransomware dijalankan.

Karena itu, Microsoft mengimbau administrator sistem dan pelanggan untuk segera menerapkan pembaruan keamanan atau patch yang tersedia.

Pembaruan secara cepat menjadi penting untuk menutup celah keamanan yang dapat dimanfaatkan kelompok seperti Storm-1175 untuk memperoleh akses ke jaringan.

Temuan ransomware StormEncryptor sekaligus menunjukkan bagaimana kelompok ransomware terus mengembangkan strategi dan perangkat baru untuk menyerang target.

Organisasi pun perlu memperkuat pemantauan jaringan, memperbarui perangkat lunak secara berkala, serta memastikan celah keamanan kritis segera ditangani untuk mengurangi risiko serangan ransomware.