Ancaman ransomware China kembali menjadi perhatian dunia keamanan siber setelah munculnya StormEncryptor, ransomware baru yang digunakan oleh kelompok peretas yang dilacak Microsoft dengan nama Storm-1175. Kelompok yang dikaitkan dengan China tersebut dikenal sebagai aktor kejahatan siber bermotif finansial dan sebelumnya menggunakan Medusa ransomware dalam sejumlah operasinya.
Kemunculan StormEncryptor menjadi perhatian bukan hanya karena ada ransomware baru. Risiko yang lebih besar muncul dari cara kelompok tersebut mendapatkan akses ke jaringan perusahaan dan kecepatannya bergerak setelah menemukan sistem yang rentan.
Microsoft Threat Intelligence sebelumnya menggambarkan Storm-1175 sebagai aktor yang menjalankan operasi ransomware dengan tempo tinggi. Mereka mengeksploitasi sistem yang menghadap internet dan memanfaatkan celah waktu antara pengungkapan kerentanan dengan penerapan patch secara luas. Dalam sejumlah kasus terdahulu, perjalanan dari akses awal hingga dampak ransomware bahkan dapat berlangsung kurang dari 24 jam.
Lalu, seberapa serius ancaman ransomware China yang sedang ramai dibicarakan ini? HALUONE akan membahas StormEncryptor, Storm-1175, kerentanan N-able N-central, hingga langkah mitigasi yang perlu diketahui perusahaan.
Apa Itu Ancaman Ransomware China yang Sedang Jadi Sorotan?
Istilah “ancaman ransomware China” dalam pembahasan ini harus ditempatkan dalam konteks yang tepat.
Bukan berarti pemerintah, perusahaan teknologi, atau seluruh ekosistem digital China berada di balik serangan tersebut. Atribusi yang tersedia secara spesifik mengarah kepada Storm-1175, aktor ancaman yang dikaitkan dengan China dan memiliki motivasi finansial.
Laporan terbaru menyebut Microsoft menemukan Storm-1175 menggunakan ransomware baru yang sebelumnya belum terdokumentasi bernama StormEncryptor. Aktivitas tersebut menjadi perubahan penting karena kelompok ini sebelumnya diketahui menggunakan Medusa ransomware.
Perhatian kemudian mengarah kepada N-able N-central, platform Remote Monitoring and Management atau RMM. Microsoft menilai Storm-1175 kemungkinan memanfaatkan kerentanan CVE-2026-18577 pada N-central untuk memperoleh initial access, meskipun jalur eksploitasi dalam kampanye tersebut belum dinyatakan secara absolut.
Di sinilah ancamannya menjadi jauh lebih menarik daripada sekadar kemunculan malware baru.
Mengenal StormEncryptor, Ransomware Baru Storm-1175
StormEncryptor merupakan ransomware yang terpantau digunakan Storm-1175 pada Agustus 2026.
Berdasarkan informasi keamanan yang tersedia, ransomware ini dibuat menggunakan C++. Ketika berhasil dijalankan pada lingkungan korban, StormEncryptor dapat mengenkripsi file dan menambahkan ekstensi .encrypted.
Ransomware tersebut kemudian meninggalkan ransom note bernama !!!README_FIRST!!!.txt.
Kemunculan StormEncryptor juga menunjukkan perubahan dalam arsenal Storm-1175. Aktor tersebut sebelumnya berhubungan dengan operasi Medusa ransomware dan mempunyai sejarah mengeksploitasi kerentanan pada berbagai aplikasi enterprise yang terekspos ke internet.
Dengan kata lain, ancaman sebenarnya tidak hanya berada pada kemampuan ransomware mengenkripsi file, melainkan kemampuan attacker menemukan pintu masuk ke jaringan perusahaan.
Mengapa StormEncryptor Dianggap Berbahaya?
Banyak orang masih membayangkan ransomware bekerja dengan pola sederhana:
Malware masuk → file dienkripsi → hacker meminta uang.
Ransomware modern dapat memiliki rantai serangan yang jauh lebih kompleks.
Secara sederhana, pola serangannya dapat berkembang menjadi:
Initial access → network discovery → credential theft → lateral movement → data exfiltration → ransomware deployment.
Artinya, saat perusahaan melihat file mulai terenkripsi, serangan sebenarnya mungkin sudah berlangsung jauh sebelumnya.
Data Bisa Dicuri Sebelum Dienkripsi
Salah satu ancaman terbesar ransomware modern adalah data exfiltration.
Attacker dapat mengambil informasi penting sebelum menjalankan ransomware. Korban kemudian menghadapi dua masalah sekaligus.
Pertama, operasional perusahaan dapat terganggu akibat sistem dan data terenkripsi.
Kedua, informasi rahasia yang tersimpan dalam jaringan mungkin sudah berada di tangan penyerang.
Situasi tersebut memungkinkan skema double extortion, ketika korban tidak hanya ditekan agar membayar untuk pemulihan data, tetapi juga menghadapi ancaman penyebaran informasi yang telah dicuri.
CVE-2026-18577 Diduga Menjadi Pintu Masuk Serangan
Salah satu entity terpenting dalam kasus ancaman ransomware China ini adalah CVE-2026-18577.
Kerentanan tersebut berkaitan dengan N-able N-central, sebuah platform RMM yang digunakan untuk melakukan monitoring dan pengelolaan sistem secara terpusat.
Microsoft Threat Intelligence menilai Storm-1175 kemungkinan mengeksploitasi CVE-2026-18577 untuk mendapatkan akses awal dalam kampanye terbarunya. Kerentanan tersebut berkaitan dengan authentication bypass pada N-central.
Kasus ini sekaligus menunjukkan satu persoalan penting dalam cybersecurity modern: kecepatan melakukan patch sangat menentukan.
Storm-1175 sebelumnya telah dikenal mengeksploitasi N-day vulnerabilities, yaitu kerentanan yang sudah diketahui dan mungkin telah mempunyai patch, tetapi masih dapat dieksploitasi karena organisasi belum memperbarui sistem mereka.
Mengapa N-able N-central Menjadi Target Sensitif?
Untuk memahami besarnya risiko, pembaca perlu mengetahui fungsi N-central.
N-central merupakan platform Remote Monitoring and Management yang memungkinkan administrator IT maupun Managed Service Provider mengelola berbagai sistem dari satu tempat.
Secara sederhana, sistem semacam ini dapat digunakan untuk membantu mengelola:
- server;
- workstation;
- endpoint;
- aplikasi;
- monitoring perangkat;
- patch management;
- berbagai aktivitas administrasi IT.
Karena memiliki fungsi pengelolaan yang luas, sistem RMM menjadi aset bernilai tinggi bagi cybercriminal.
Jika attacker berhasil mendapatkan hak administratif terhadap infrastruktur manajemen, potensi jangkauannya dapat lebih luas dibandingkan kompromi terhadap satu komputer individual.
Inilah alasan kasus tersebut juga memunculkan kekhawatiran mengenai supply-chain risk. Laporan keamanan terbaru memperingatkan bahwa penyalahgunaan software manajemen yang luas dapat menciptakan efek serangan berantai terhadap jaringan korban.
Bagaimana StormEncryptor Menyerang Jaringan Korban?
Rantai serangan menjadi bagian penting untuk memahami mengapa Storm-1175 berbahaya.
1. Mendapatkan Initial Access
Tahap pertama adalah mencari sistem yang memiliki vulnerability dan dapat dijangkau dari internet.
Dalam kampanye terbaru, CVE-2026-18577 pada N-central dinilai kemungkinan menjadi salah satu jalan masuk.
2. Memetakan Lingkungan Jaringan
Setelah berhasil mendapatkan akses, attacker tidak harus langsung mengenkripsi komputer.
Mereka dapat melakukan reconnaissance untuk mengetahui perangkat, server, akun, dan sistem penting yang berada dalam lingkungan target.
3. Mencuri Kredensial
Kredensial merupakan aset penting bagi attacker karena username, password, token, atau akses administratif dapat membuka jalan menuju sistem lainnya.
Storm-1175 sebelumnya diketahui menggunakan teknik dan tool untuk mendapatkan kredensial dari lingkungan yang telah dikompromikan.
4. Melakukan Lateral Movement
Setelah mendapatkan kredensial yang cukup, attacker dapat mencoba bergerak dari satu sistem menuju sistem lain.
Tahap inilah yang membuat serangan terhadap jaringan perusahaan berbeda dari infeksi malware sederhana pada satu komputer.
5. Melakukan Data Exfiltration
Informasi bernilai tinggi kemudian dapat dikumpulkan dan dikeluarkan dari jaringan.
Data tersebut nantinya dapat menjadi alat tekanan terhadap korban.
6. Menjalankan Ransomware
Tahap berikutnya adalah deployment ransomware untuk mengenkripsi data dan mengganggu operasional organisasi.
Ketika sampai pada tahap ini, korban menghadapi kemungkinan kehilangan akses terhadap data sekaligus risiko kebocoran informasi.
Storm-1175 Dikenal Bergerak Sangat Cepat
Kecepatan merupakan salah satu karakteristik paling berbahaya Storm-1175.
Microsoft menyebut kelompok tersebut menjalankan high-velocity ransomware campaigns dengan mengeksploitasi sistem web-facing yang rentan pada periode antara vulnerability disclosure dan penerapan patch secara luas.
Setelah eksploitasi berhasil, Storm-1175 dapat bergerak dari initial access menuju data exfiltration dan ransomware hanya dalam beberapa hari. Microsoft mencatat beberapa intrusi sebelumnya bahkan berkembang dalam waktu kurang dari 24 jam.
Implikasinya sangat besar.
Perusahaan tidak bisa lagi beranggapan bahwa mereka selalu mempunyai waktu berminggu-minggu untuk menutup kerentanan kritis.
Ketika vulnerability diketahui sedang aktif dieksploitasi, waktu respons dapat menentukan apakah sebuah organisasi berhasil mencegah kompromi atau terlambat bertindak.
Siapa yang Paling Berisiko?
Berdasarkan karakteristik kasus tersebut, perhatian utama berada pada organisasi yang menggunakan infrastruktur enterprise terkait dan sistem yang terekspos ke internet.
Managed Service Provider (MSP) mempunyai risiko khusus karena mereka dapat mengelola banyak lingkungan pelanggan.
Perusahaan dengan patch management lambat juga lebih rentan terhadap kelompok seperti Storm-1175 karena attacker sengaja memanfaatkan periode ketika vulnerability sudah diketahui tetapi belum ditutup pada seluruh sistem.
Sementara itu, organisasi dengan hak administrator terlalu luas menghadapi risiko tambahan jika kredensial berhasil dicuri.
Karena itu, prinsip least privilege dan segmentasi jaringan menjadi relevan untuk membatasi seberapa jauh attacker dapat bergerak setelah mendapatkan akses awal.
Apakah Pengguna Komputer Biasa Perlu Khawatir?
Pembaca umum tidak perlu menafsirkan berita mengenai ancaman ransomware China ini seolah-olah seluruh komputer di dunia akan langsung terkena StormEncryptor.
Kasus yang sedang dibahas memiliki konteks kuat pada infrastruktur enterprise, terutama N-able N-central dan organisasi yang menjalankan sistem terkait.
Namun bukan berarti pengguna biasa boleh mengabaikan ancaman ransomware.
Phishing, pencurian password, malware, software tidak diperbarui dan penggunaan password yang sama di banyak layanan tetap menjadi risiko keamanan digital yang relevan.
Jadi, pelajaran dari StormEncryptor berlaku lebih luas: jangan menunda pembaruan keamanan dan jangan mengandalkan satu lapisan perlindungan saja.
Patch Saja Belum Tentu Cukup
Ada satu kesalahan yang perlu dihindari ketika menghadapi vulnerability yang telah aktif dieksploitasi.
Memasang patch memang sangat penting karena dapat menutup kerentanan. Namun apabila attacker sudah berhasil masuk sebelum patch diterapkan, update tersebut tidak otomatis membuktikan lingkungan sudah bersih.
Karena itu pendekatan keamanan sebaiknya mencakup:
Patch + threat hunting + account review + persistence check + continuous monitoring.
Administrator perlu mencari aktivitas tidak biasa, akun administrator baru yang tidak dikenal, remote-access software mencurigakan, perubahan konfigurasi, hingga pola autentikasi yang tidak normal.
N-able juga telah mendorong pembaruan keamanan untuk N-central, sementara perkembangan terbaru menunjukkan perlunya memperhatikan hotfix dan panduan mitigasi vendor, bukan hanya mengandalkan status bahwa software pernah diperbarui.
Cara Mengurangi Risiko Ancaman Ransomware
Perusahaan dapat memperkuat pertahanan dengan beberapa langkah mendasar.
Pertama, prioritaskan patch untuk vulnerability yang diketahui aktif dieksploitasi. Kerentanan kritis sebaiknya tidak selalu menunggu maintenance rutin berikutnya.
Kedua, terapkan least privilege. Jangan memberikan hak administrator kepada akun yang sebenarnya tidak membutuhkannya.
Ketiga, gunakan network segmentation agar kompromi pada satu bagian jaringan tidak otomatis memberikan akses ke seluruh infrastruktur.
Keempat, monitor remote-access software dan aktivitas login. Tool administrasi yang sah sekalipun dapat disalahgunakan apabila attacker sudah memperoleh akses.
Kelima, siapkan backup yang aman dan terisolasi serta lakukan pengujian proses pemulihan secara berkala.
Terakhir, organisasi membutuhkan incident response plan. Ketika ransomware menyerang, keputusan mengenai isolasi sistem, investigasi, komunikasi, pemulihan, dan perlindungan data tidak ideal jika baru dipikirkan saat insiden sedang berlangsung.
Benarkah Ancaman Ransomware China Bisa Mengancam Dunia?
Jawabannya perlu ditempatkan secara proporsional.
Ancaman ini dapat mempunyai dampak lintas negara karena software enterprise dan sistem RMM digunakan oleh berbagai organisasi. Serangan terhadap platform manajemen juga dapat memiliki jangkauan lebih luas daripada serangan terhadap satu endpoint.
Namun tidak tepat menyimpulkan bahwa seluruh pengguna komputer dunia sedang menjadi korban StormEncryptor.
Yang lebih akurat adalah bahwa Storm-1175 merupakan threat actor bermotif finansial yang dikaitkan dengan China dan kini terpantau menggunakan StormEncryptor, sementara potensi eksploitasi sistem RMM menciptakan risiko yang perlu diperhatikan organisasi di berbagai negara.
FAQ Ancaman Ransomware China
Apa itu StormEncryptor?
StormEncryptor adalah ransomware baru yang terpantau digunakan oleh Storm-1175. Malware tersebut dapat mengenkripsi file korban dan menambahkan ekstensi .encrypted.
Siapa Storm-1175?
Storm-1175 adalah nama pelacakan Microsoft untuk aktor cybercriminal bermotif finansial yang dikaitkan dengan China. Kelompok tersebut sebelumnya dikenal menggunakan Medusa ransomware.
Apa hubungan StormEncryptor dengan N-able N-central?
Microsoft menilai Storm-1175 kemungkinan memanfaatkan CVE-2026-18577 pada N-central untuk mendapatkan initial access dalam kampanye terbarunya, meski jalur eksploitasi pastinya belum dipastikan secara absolut.
Apakah StormEncryptor menyerang pengguna biasa?
Kampanye yang sedang menjadi perhatian terutama berkaitan dengan lingkungan enterprise dan infrastruktur N-central. Jadi tidak berarti seluruh pengguna komputer otomatis menjadi target langsung StormEncryptor.
Bagaimana cara mencegah ransomware?
Langkah utama mencakup patching cepat, least privilege, segmentasi jaringan, monitoring aktivitas abnormal, perlindungan kredensial, backup terisolasi, threat hunting, serta incident response plan.
Ancaman ransomware China yang sedang menjadi sorotan menunjukkan bagaimana serangan ransomware terus berkembang. Storm-1175 tidak hanya mengandalkan malware untuk mengenkripsi komputer, tetapi memanfaatkan vulnerability, mencari kredensial, bergerak di dalam jaringan, mengambil data, dan kemudian menjalankan ransomware.
Kemunculan StormEncryptor sekaligus memperlihatkan bahwa keamanan perusahaan tidak bisa hanya bergantung pada antivirus atau backup. Kecepatan patching, pengamanan akses administratif, monitoring jaringan, segmentasi, threat hunting dan kesiapan menghadapi insiden sama pentingnya.
Bagi HALUONE, pelajaran terpenting dari kasus ini adalah sederhana: dalam menghadapi ransomware modern, waktu menjadi bagian dari pertahanan. Semakin lama kerentanan kritis dibiarkan terbuka, semakin besar kesempatan attacker memanfaatkannya.
Karena itu, jangan melihat StormEncryptor hanya sebagai “ransomware baru dari China”. Ancaman yang lebih besar adalah bagaimana cybercriminal mampu memanfaatkan satu titik lemah untuk memperluas akses, mencuri informasi dan akhirnya mengganggu seluruh operasional organisasi.
Semoga pembahasan HALUONE kali ini membantu Anda memahami ancaman StormEncryptor dan pentingnya meningkatkan keamanan digital sebelum serangan terjadi.
Salam,
HALUONE