3 hours ago
2
Foto ilustrasi peretas/hacker. - Freepik
Harianjogja.com, JOGJA—Microsoft mengungkap ancaman siber baru yang dinilai sangat berbahaya bagi organisasi dan perusahaan di berbagai sektor. Tim Intelijen Ancaman Microsoft (Microsoft Threat Intelligence) menemukan kelompok peretas bermotif finansial asal China, Storm-1175, kini menggunakan ransomware baru bernama StormEncryptor untuk menyerang sistem yang belum diperbarui.
Dilansir dari Hacker News, temuan tersebut menandai perubahan strategi Storm-1175 yang sebelumnya lebih dikenal sebagai afiliasi ransomware Medusa. Kali ini, kelompok tersebut mengembangkan malware sendiri dan memanfaatkan celah keamanan yang belum ditambal untuk mengunci data korban serta meminta tebusan.
Microsoft mencatat aktivitas StormEncryptor mulai terdeteksi pada 2 Agustus 2026. Ransomware tersebut ditulis menggunakan bahasa pemrograman C++ dan akan menambahkan ekstensi ".encrypted" pada file yang berhasil dikunci.
Setelah proses enkripsi selesai, pelaku meninggalkan catatan tebusan bertajuk !!!README_FIRST!!!.txt di setiap direktori yang terinfeksi. Dalam pesan tersebut, korban diberi waktu tiga hari untuk menghubungi pelaku dan melakukan negosiasi pembayaran. Jika tuntutan tidak dipenuhi, data yang telah dicuri diancam akan dipublikasikan.
Manfaatkan Celah Saat Pengguna Belum Memasang Patch
Menurut Microsoft, salah satu kekuatan utama Storm-1175 adalah kemampuannya memanfaatkan jeda waktu antara pengungkapan kerentanan keamanan dan pemasangan pembaruan oleh pengguna.
Kelompok ini dikenal menjalankan serangan dengan sangat cepat setelah celah keamanan diumumkan. Dalam sejumlah kasus, eksploitasi bahkan dilakukan hanya dalam waktu 24 jam setelah kerentanan dipublikasikan.
Microsoft menduga Storm-1175 memanfaatkan kerentanan CVE-2026-18577 pada perangkat lunak manajemen jarak jauh N-able N-central. Celah tersebut memungkinkan pelaku melewati mekanisme autentikasi dan memperoleh akses ke sistem yang rentan.
Yang mengkhawatirkan, eksploitasi terhadap kerentanan tersebut terdeteksi pada hari yang sama ketika informasi keamanan dan pembaruan resmi dirilis. Kondisi ini mengindikasikan pelaku kemungkinan telah mengetahui kelemahan tersebut sebelum pengungkapan publik dilakukan.
Bergerak Cepat dari Akses hingga Penguncian Data
Storm-1175 bukan kelompok baru dalam dunia kejahatan siber. Microsoft menyebut kelompok ini telah aktif sejak setidaknya 2023 dan dikenal mengincar berbagai perangkat lunak populer yang banyak digunakan perusahaan.
Setelah memperoleh akses awal ke jaringan korban, pelaku bergerak sangat cepat untuk memperluas kendali atas sistem.
Aktivitas yang diamati Microsoft meliputi penggunaan perangkat lunak akses jarak jauh seperti AnyDesk dan SimpleHelp, pemindaian jaringan menggunakan Advanced IP Scanner, hingga pencurian kredensial melalui alat Mimikatz.
Seluruh proses, mulai dari akses awal, pencurian data, hingga penyebaran ransomware, dapat berlangsung hanya dalam hitungan hari. Dalam beberapa insiden, seluruh tahapan serangan bahkan selesai kurang dari 24 jam.
Kecepatan tersebut membuat organisasi yang terlambat memasang pembaruan keamanan berada dalam risiko tinggi mengalami gangguan operasional maupun kebocoran data.
Sektor Kesehatan hingga Keuangan Berisiko
Microsoft menilai Storm-1175 menjadi ancaman serius bagi berbagai sektor, termasuk kesehatan, pendidikan, pemerintahan, dan layanan keuangan.
Selain mengunci data, kelompok ini juga menerapkan strategi pemerasan ganda atau double extortion. Artinya, data korban tidak hanya dienkripsi, tetapi juga dicuri terlebih dahulu sebelum ancaman publikasi dilakukan.
Model serangan semacam ini membuat dampak insiden menjadi lebih besar karena dapat memicu gangguan layanan, kerugian finansial, hingga risiko pelanggaran privasi.
Microsoft dan N-able Keluarkan Imbauan
Microsoft mengimbau seluruh administrator sistem untuk segera memasang pembaruan keamanan terbaru dan memeriksa indikator kompromi pada perangkat yang dikelola.
Sementara itu, N-able meminta pelanggan memeriksa keberadaan file mencurigakan seperti svchost.exe pada folder Documents pengguna, layanan bernama Cloudflared yang tidak dikenal, serta aktivitas koneksi dari alamat IP yang masuk dalam daftar indikator ancaman.
Para administrator juga disarankan menerapkan prinsip zero trust, memperketat kontrol akses jarak jauh, serta melakukan pemantauan log keamanan secara berkala guna mendeteksi aktivitas mencurigakan lebih dini.
Ancaman StormEncryptor kembali menjadi pengingat bahwa dalam dunia keamanan siber, kecepatan memasang patch keamanan sering kali menjadi faktor penentu antara sistem yang aman dan sistem yang berhasil diretas. Ketika kelompok peretas mampu bergerak dalam hitungan jam, keterlambatan memperbarui sistem dapat berujung pada kerugian yang jauh lebih besar.
Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.
Jumali Jurnalis Harian Jogja, bagian dari Bisnis Indonesia Group menulis untuk media cetak dan online
