StormEncryptor, Ransomware Baru yang Digunakan Mantan Afiliasi Medusa
Aktor ancaman yang sebelumnya diketahui berafiliasi dengan operasi ransomware Medusa kini menggunakan ransomware baru bernama StormEncryptor dalam serangkaian serangan terhadap organisasi.
Microsoft Threat Intelligence melacak aktor tersebut sebagai Storm-1175. Serangan terbaru diduga diawali dengan eksploitasi kerentanan authentication bypass pada platform remote monitoring and management (RMM) N-central milik N-able.
Kerentanan tersebut tercatat sebagai CVE-2026-18577 dan memungkinkan pelaku melewati mekanisme autentikasi untuk memperoleh akses ke sistem yang terdampak.
Storm-1175 Beralih dari Medusa ke Ransomware Baru
Storm-1175 diyakini merupakan aktor ancaman yang berbasis di China dan sebelumnya memiliki keterkaitan dengan operasi Medusa.
Aktor ini dikenal menyerang organisasi dengan memanfaatkan kerentanan zero-day maupun n-day pada berbagai produk enterprise. Target sebelumnya mencakup GoAnywhere MFT, SmarterTools SmarterMail, Microsoft Exchange, Ivanti Connect Secure, dan JetBrains TeamCity.
Microsoft menyebut penggunaan StormEncryptor sebagai aktivitas pertama Storm-1175 yang mereka amati sejak April 2026.
Peralihan tersebut juga menunjukkan adanya perubahan dari ransomware Medusa yang sebelumnya digunakan oleh aktor tersebut ke malware enkripsi baru yang dikembangkan secara khusus.
StormEncryptor Mengenkripsi File dengan Ekstensi .encrypted
StormEncryptor merupakan ransomware yang ditulis menggunakan C++.
Setelah dijalankan pada sistem korban, malware mengenkripsi file yang ditemukan dan menambahkan ekstensi .encrypted pada nama file.
Ransomware kemudian membuat file bernama !!!README_FIRST!!!.txt di setiap direktori yang dipindai. File tersebut berisi instruksi bagi korban untuk menghubungi pelaku.
Korban diberikan waktu sekitar tiga hari untuk menghubungi operator ransomware dan melakukan negosiasi pembayaran tebusan.
Seperti pola ransomware modern lainnya, ancaman tidak hanya berkaitan dengan enkripsi file. Pelaku juga mengancam akan mempublikasikan data yang telah dicuri apabila tuntutan tidak dipenuhi.
Model ini menunjukkan penerapan double extortion, yaitu menggabungkan pencurian data dengan enkripsi sistem untuk meningkatkan tekanan terhadap korban.
Pelaku Bergerak Cepat Setelah Mendapatkan Akses
Salah satu karakteristik Storm-1175 yang menjadi perhatian Microsoft adalah kecepatan perpindahan dari akses awal menuju pencurian data dan deployment ransomware.
Setelah berhasil masuk ke jaringan target, pelaku menggunakan berbagai tools untuk melakukan pengintaian, memperoleh kredensial, mempertahankan akses, dan mempersiapkan proses enkripsi.
Untuk remote management, Storm-1175 menggunakan AnyDesk atau SimpleHelp.
Sementara itu, Advanced IP Scanner digunakan untuk melakukan network discovery dan mengidentifikasi perangkat lain yang dapat dijangkau dari sistem yang telah dikompromikan.
Pelaku juga menggunakan Mimikatz untuk mengambil kredensial dari proses Local Security Authority Subsystem Service (LSASS).
Kombinasi tools tersebut memungkinkan penyerang memperluas akses di dalam jaringan sebelum menjalankan StormEncryptor.
N-central Menjadi Jalur Masuk Serangan
Microsoft menduga serangan terbaru terhadap target Storm-1175 diawali dengan eksploitasi CVE-2026-18577 pada N-central.
N-central merupakan platform RMM yang digunakan untuk melakukan pemantauan dan pengelolaan perangkat secara terpusat. Karena biasanya memiliki akses luas ke sistem yang dikelola, kompromi terhadap server RMM dapat memberikan peluang besar bagi penyerang untuk bergerak lebih jauh di dalam lingkungan korban.
N-able telah merilis hotfix untuk mengatasi kerentanan tersebut melalui N-central 2026.3 HF1, dengan build 2026.3.1.7, pada 2 Agustus 2026.
Perusahaan meminta administrator segera memasang pembaruan tersebut untuk mengurangi risiko eksploitasi.
Administrator Diminta Memeriksa Tanda-Tanda Kompromi
N-able juga memberikan sejumlah indikator yang dapat digunakan administrator untuk memeriksa kemungkinan kompromi pada lingkungan N-central.
Salah satunya adalah keberadaan file svchost.exe yang mencurigakan di folder Documents milik pengguna perangkat.
Administrator juga disarankan memeriksa apakah terdapat service bernama Cloudflared yang terdaftar pada sistem.
Selain itu, koneksi masuk dari alamat IP yang tercantum dalam advisory keamanan N-able perlu diperiksa untuk memastikan tidak terdapat aktivitas yang berasal dari infrastruktur penyerang.
Pemeriksaan tersebut penting terutama bagi organisasi yang belum memasang hotfix dan memiliki N-central yang dapat diakses dari jaringan yang berisiko.
Ransomware Dapat Disebarkan Hanya dalam Beberapa Hari
Microsoft memperingatkan bahwa Storm-1175 dikenal mampu bergerak sangat cepat setelah memperoleh initial access.
Dalam beberapa serangan, proses dari kompromi awal hingga data exfiltration dan deployment ransomware dapat berlangsung hanya dalam hitungan hari.
Karena itu, menunda patching terhadap kerentanan pada server RMM dapat memberikan cukup waktu bagi penyerang untuk memperoleh kredensial, memetakan jaringan, mencuri data, dan mempersiapkan serangan ransomware.
Organisasi yang menggunakan N-central sebaiknya segera menerapkan hotfix CVE-2026-18577, melakukan pemeriksaan terhadap indikator kompromi, serta meninjau aktivitas login dan koneksi jaringan yang tidak biasa.
Kemunculan StormEncryptor juga menunjukkan bahwa meskipun sebuah aktor sebelumnya dikenal menggunakan ransomware tertentu seperti Medusa, perubahan malware tidak selalu berarti pola serangannya ikut berubah. Infrastruktur RMM yang terekspos dan kerentanan authentication bypass tetap dapat menjadi titik masuk utama untuk serangan ransomware berikutnya.
Sumber: Microsoft Threat Intelligence
