Jakarta, CNBC Indonesia - Raksasa teknologi Microsoft mengungkapkan pergerakan kelompok peretas (threat actor) bermotif finansial asal China, Storm-1175. Kelompok ini kedapatan menyebarkan ransomware jenis baru yang belum pernah terdokumentasikan sebelumnya, yakni StormEncryptor.
Tim Intelijen Ancaman Microsoft (Microsoft Threat Intelligence Team) mencatat penggunaan StormEncryptor menandai pergeseran strategi dari kelompok tersebut, yang sebelumnya aktif menggunakan ransomware Medusa.
"StormEncryptor ditulis dalam bahasa C++ dan menambahkan ekstensi nama file .encrypted pada file yang berhasil dienkripsi," tulis Microsoft melalui unggahan di platform Bluesky, dikutip dari Hacker News, Selasa (11/8/2026).
Setelah berhasil mengunci file target, kelompok ini akan meninggalkan catatan tebusan (ransom note) bertajuk !!!README_FIRST!!!.txt di setiap direktori yang dipindai.
Meskipun celah keamanan utama yang dimanfaatkan dalam peretasan ini belum dipastikan sepenuhnya, Microsoft menduga kuat pelaku mengeksploitasi CVE-2026-18577. Kerentanan terbaru pada perangkat lunak N-able N-central tersebut digunakan untuk mendapatkan akses awal ke sistem korbannya.
Celah tersebut diidentifikasi sebagai peretasan tambalan (patch bypass) dari CVE-2026-18556. Kedua celah keamanan ini memungkinkan pelaku melewati proses otentikasi hingga mengambil alih akun secara penuh pada sistem yang rentan. Badan Keamanan Siber dan Infrastruktur AS (CISA) bahkan telah memasukkan kerentanan tersebut ke dalam daftar eksploitasi aktif di lapangan.
Rekam Jejak Storm-1175
Storm-1175 dikenal sebagai kelompok peretas berbasis di China yang kerap menyebarkan ransomware Medusa. Mereka memanfaatkan berbagai kelemahan sistem populer seperti Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, hingga Fortinet FortiClient EMS.
Pada laporan analisis Oktober 2025 lalu, Microsoft juga memetakan keterlibatan Storm-1175 dalam eksploitasi celah keamanan kritis pada Fortra GoAnywhere (CVE-2025-10035) demi memuluskan aksi serangan Medusa.
Pihak Microsoft menegaskan bahwa peretas ini memersenjatai kombinasi kerentanan zero-day dan N-day untuk melancarkan serangan kilat. Mereka memanfaatkan jeda waktu antara tanggal pengungkapan celah keamanan dan eksekusi pembaruan (patching) oleh pengguna untuk membobol sistem yang terhubung ke internet.
"Aktivitas pasca-peretasan (post-compromise) dari Storm-1175 meliputi penyalahgunaan alat pemantauan jarak jauh (RMM) seperti AnyDesk atau SimpleHelp, penggunaan Advanced IP Scanner untuk pemindaian jaringan, serta pencurian kredensial (LSASS dumping) menggunakan Mimikatz," tambah Microsoft.
Pergerakan Storm-1175 tergolong sangat pesat-mulai dari penembusan akses awal, pencurian data (data exfiltration), hingga penguncian ransomware hanya memakan waktu beberapa hari. Microsoft mengimbau seluruh administrator sistem dan pelanggan untuk segera menerapkan pembaruan keamanan (patch) guna menghindari potensi peretasan.
[Gambas:Video CNBC]
