PALU, MAL – Tim Intelijen Ancaman Microsoft mengungkap kemunculan ransomware baru bernama StormEncryptor yang disebarkan kelompok peretas bermotif finansial asal China, Storm-1175, pada Selasa (11/8/2026). Ransomware ini menyasar sistem yang terhubung ke internet, khususnya pengguna perangkat lunak N-able N-central yang memiliki kerentanan CVE-2026-18577, dan mampu mengunci file korban hanya dalam hitungan hari setelah akses awal berhasil diperoleh.
Microsoft menyebut StormEncryptor sebagai jenis ransomware yang belum pernah terdokumentasikan sebelumnya. Kemunculan malware tersebut menandai perubahan strategi Storm-1175 yang sebelumnya dikenal aktif menyebarkan ransomware Medusa.
Kelompok peretas tersebut diduga mengeksploitasi celah keamanan CVE-2026-18577, yang merupakan bypass terhadap tambalan keamanan CVE-2026-18556. Kerentanan itu memungkinkan pelaku melewati proses autentikasi hingga mengambil alih akun secara penuh pada sistem yang rentan.
“StormEncryptor ditulis dalam bahasa C++ dan menambahkan ekstensi nama file .encrypted pada file yang berhasil dienkripsi,” demikian keterangan Tim Intelijen Ancaman Microsoft.
Setelah berhasil mengenkripsi data, ransomware akan menambahkan ekstensi “.encrypted” pada file korban dan meninggalkan catatan tebusan bertajuk !!!README_FIRST!!!.txt di setiap direktori yang dipindai.
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah memasukkan CVE-2026-18577 ke dalam daftar kerentanan yang aktif dieksploitasi di lapangan. Kondisi ini meningkatkan risiko bagi organisasi yang belum menerapkan pembaruan keamanan pada sistem mereka.
Microsoft juga mengungkap aktivitas lanjutan yang dilakukan pelaku setelah berhasil masuk ke jaringan korban.
“Aktivitas pasca-peretasan (post-compromise) dari Storm-1175 meliputi penyalahgunaan alat pemantauan jarak jauh (RMM) seperti AnyDesk atau SimpleHelp, penggunaan Advanced IP Scanner untuk pemindaian jaringan, serta pencurian kredensial (LSASS dumping) menggunakan Mimikatz,” ujar Tim Intelijen Ancaman Microsoft.
Menurut pemetaan Microsoft, Storm-1175 telah aktif mengeksploitasi berbagai kerentanan perangkat lunak populer, termasuk Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, dan Fortinet FortiClient EMS. Pada Oktober 2025, kelompok ini juga dikaitkan dengan eksploitasi celah keamanan kritis Fortra GoAnywhere (CVE-2025-10035) dalam serangan ransomware Medusa.
Kecepatan operasi menjadi salah satu karakteristik utama kelompok tersebut. Proses mulai dari penembusan akses awal, pencurian data hingga penguncian sistem dengan ransomware dilaporkan hanya berlangsung dalam beberapa hari.
Ancaman ransomware ini muncul di tengah meningkatnya aktivitas siber yang dikaitkan dengan aktor asal China. Data ancaman siber menunjukkan aktivitas spionase siber Tiongkok meningkat 150 persen sepanjang 2024, sementara sejumlah sektor penting mengalami kenaikan serangan yang ditargetkan hingga 300 persen.
Hingga 11 Agustus 2026, Microsoft terus memantau aktivitas Storm-1175, sementara CISA telah mengategorikan CVE-2026-18577 sebagai kerentanan yang sedang dieksploitasi secara aktif sehingga organisasi pengguna N-able N-central didorong segera menutup celah keamanan tersebut melalui pembaruan sistem yang tersedia.
