Microsoft Ungkap Ransomware Baru StormEncryptor, Disebarkan Kelompok Peretas China Lewat Celah di N-able N-centralMicrosoft Ungkap Ransomware Baru StormEncryptor, Disebarkan Kelompok Peretas China Lewat Celah di N-able N-centralMicrosoft Ungkap Ransomware Baru StormEncryptor, Disebarkan Kelompok Peretas China Lewat Celah di N-able N-centralMicrosoftUngkapRansomwareBaruStormEncryptor,DisebarkanKelompokPeretasChinaLewatCelahdiN-ableN-central

Microsoft mengungkap pergerakan kelompok peretas bermotif finansial asal China yang mereka sebut Storm-1175. Kelompok ini ketahuan menyebarkan jenis ransomware baru bernama StormEncryptor — perangkat lunak jahat yang mengunci file korban dan baru bisa dibuka lagi setelah korban membayar tebusan.

Menurut Tim Intelijen Ancaman Microsoft, kemunculan StormEncryptor menandai pergeseran taktik Storm-1175, yang selama ini lebih dikenal memakai ransomware Medusa. "StormEncryptor ditulis dalam bahasa C++ dan menambahkan ekstensi nama file .encrypted pada file yang berhasil dienkripsi," tulis Microsoft lewat unggahan di Bluesky, seperti dikutip Hacker News, Selasa (11/8/2026). Setelah file korban terkunci, kelompok ini meninggalkan catatan tebusan berjudul "!!!README_FIRST!!!.txt" di setiap folder yang mereka pindai.

Soal bagaimana pelaku masuk ke sistem korban, Microsoft menduga kuat — meski belum sepenuhnya memastikan — bahwa Storm-1175 mengeksploitasi CVE-2026-18577, kerentanan pada perangkat lunak N-able N-central. Celah ini teridentifikasi sebagai jalan pintas (patch bypass) dari kerentanan sebelumnya, CVE-2026-18556. Keduanya sama-sama bisa dipakai pelaku untuk melewati proses autentikasi dan mengambil alih akun sepenuhnya di sistem yang rentan. Badan Keamanan Siber dan Infrastruktur AS (CISA) bahkan sudah memasukkan kerentanan ini ke daftar celah yang aktif dieksploitasi di lapangan.

Rekam jejak Storm-1175

Storm-1175 bukan pemain baru. Kelompok ini sebelumnya dikenal aktif menyebar ransomware Medusa dengan memanfaatkan celah keamanan di berbagai perangkat lunak populer, mulai dari Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, hingga Fortinet FortiClient EMS. Pada laporan Oktober 2025, Microsoft juga mengaitkan kelompok ini dengan eksploitasi celah kritis di Fortra GoAnywhere (CVE-2025-10035) untuk memuluskan serangan Medusa.

Microsoft menyebut Storm-1175 kerap memadukan celah zero-day — kerentanan yang belum ada tambalannya — dengan celah n-day, yakni celah yang sudah ada patch-nya tapi belum sempat diterapkan banyak pengguna. Kombinasi ini membuat mereka bisa membobol sistem yang terhubung ke internet secara cepat, memanfaatkan jeda waktu antara pengumuman celah keamanan dan proses pembaruan di sisi pengguna.

Setelah berhasil masuk, menurut Microsoft, Storm-1175 biasa menyalahgunakan aplikasi pemantauan jarak jauh (RMM) seperti AnyDesk atau SimpleHelp, memakai Advanced IP Scanner untuk memetakan jaringan korban, lalu mencuri kredensial lewat teknik LSASS dumping menggunakan Mimikatz.

Yang membuat kelompok ini cukup berbahaya adalah kecepatannya. Dari mulai menembus akses awal, mencuri data, sampai mengunci file dengan ransomware, semua bisa selesai hanya dalam hitungan hari. Microsoft mengimbau seluruh administrator sistem dan pengguna N-able N-central untuk segera menerapkan pembaruan keamanan guna mencegah eksploitasi lebih lanjut.