Murni didorong oleh motivasi finansial, peretas ini memanfaatkan celah keamanan baru, menyusup lewat alat administrasi sah, hingga menyebarkan ransomware Medusa dan StormEncryptor.
WWW.JERNIH.CO – Keamanan siber global kembali diguncang oleh kemunculan kelompok peretas yang dilacak oleh Microsoft Threat Intelligence dengan nama Storm-1175. Berbeda dengan stereotip peretas berbasis negara yang biasanya bekerja secara perlahan dan tersembunyi, Storm-1175 dikenal karena kecepatan operasinya yang sangat tinggi dan berdampak destruktif secara finansial.
Storm-1175 adalah kelompok kejahatan siber yang terindikasi memiliki keterkaitan dengan wilayah China dan pertama kali terdeteksi aktif secara masif sejak tahun 2023. Berbeda dari kelompok Advanced Persistent Threat (APT) asal China pada umumnya yang disponsori negara untuk melakukan mata-mata, Storm-1175 murni didorong oleh motivasi finansial.
Dalam pergerakannya, mereka beroperasi sebagai afiliasi utama dalam ekosistem ransomware Medusa dan belakangan terdeteksi menguji rakitan ransomware buatan mereka sendiri, yaitu StormEncryptor.
Sasaran
Sektor yang menjadi sasaran utama Storm-1175 mencakup aplikasi dan sistem enterprise yang terhubung langsung ke internet. Sasaran geografis mereka berfokus pada organisasi di Amerika Serikat, Inggris, dan Australia. Sementara itu, sektor industri yang paling sering dihantam oleh serangan kelompok ini meliputi layanan kesehatan, lembaga pendidikan, jasa keuangan, hingga layanan profesional.
Keunggulan utama Storm-1175 terletak pada kecepatan eksploitasi celah keamanan melalui alur kerja yang sangat efisien, yaitu memanfaatkan celah keamanan zero-day atau N-day, mendapatkan akses awal, menggunakan alat RMM, mencuri data, hingga mengeksekusi enkripsi ransomware dalam kurun waktu kurang dari 24 jam.
Pada tahap awal, mereka memanfaatkan jendela waktu antara pengumuman celah keamanan dan penerapan tambalan oleh organisasi, bahkan terbukti mengeksploitasi celah zero-day satu minggu sebelum dipublikasikan secara resmi atau hanya hitungan jam setelah publikasi.
Setelah berhasil masuk, kelompok ini menggunakan teknik living off the land dengan memanfaatkan perangkat administrasi jarak jauh yang sah seperti AnyDesk, SimpleHelp, MeshAgent, dan ScreenConnect sehingga aktivitas mereka membaur dengan lalu lintas jaringan normal.
Ketika rata-rata peretas ransomware membutuhkan waktu hingga 21 hari sejak penyusupan awal hingga penguncian data, Storm-1175 mampu melakukan pergerakan lateral, pencurian kredensial, ekstraksi data via Rclone, hingga eksekusi ransomware penuh hanya dalam kurun waktu kurang dari sehari hingga beberapa hari saja.
Dalam operasinya Storm-1175 menggunakan Medusa untuk menginfeksi target, sebelum belakangan mereka mulai mengembangkan ransomware buatan mereka sendiri yang dinamakan StormEncryptor. Medua sendiri sebagai Ransomeware-as-a-Service (Raas) buatan kelompok peretas lain.
Taylor Swift
Perbedaan mendasar antara Storm-1175 dengan kelompok peretas lain terlihat jelas dari motivasi, durasi penyusupan, serta strategi eksploitasinya. Jika kelompok peretas APT tradisional berfokus pada espionase negara dengan bertengger di jaringan selama berbulan-bulan dan menyimpan celah zero-day untuk target bernilai tinggi, serta geng ransomware biasa cenderung mengandalkan celah lama yang belum ditambal dengan durasi serangan satu hingga tiga minggu, Storm-1175 menggabungkan motivasi finansial dengan agresivitas tinggi.
Mereka secara aktif mengubah celah keamanan baru menjadi senjata dan menyelesaikan seluruh proses peretasan dalam hitungan jam hingga lima hari.
Di samping itu, terdapat kekeliruan informasi yang sering beredar di publik yang menghubungkan peretasan Ticketmaster secara langsung kepada Storm-1175. Kebocoran data besar-besaran Ticketmaster dan Live Nation yang mengekspos data 560 juta pelanggan serta sekitar 440.000 tiket tur “The Eras Tour” Taylor Swift sebenarnya dilakukan oleh kelompok peretas bernama ShinyHunters melalui identitas Sp1d3rHunters.
Kebocoran ini terjadi akibat eksploitasi pada infrastruktur basis data awan Snowflake, bukan oleh kelompok Storm-1175. Selain itu, meskipun peretas sempat membocorkan ribuan barcode tiket di beberapa kota dan mengancam akan membocorkan puluhan juta barcode lainnya, insiden ini tidak merusak akses fisik masuk ke lokasi konser. Hal tersebut disebabkan oleh penggunaan teknologi SafeTix oleh Ticketmaster yang memutakhirkan barcode dinamis setiap beberapa detik pada aplikasi seluler, sehingga barcode statis yang dicuri otomatis tidak berlaku.
Dampak
Secara keseluruhan, dampak keuangan dari serangan kejahatan siber kelas enterprise ini sangat dahsyat. Pada kasus Ticketmaster, kelompok ShinyHunters menuntut tebusan sebesar 2 juta hingga 8 juta USD agar data ratusan juta pelanggan tidak dibocorkan, di mana kerugian keseluruhan mencakup penurunan nilai saham, biaya investigasi forensik, penerbitan ulang tiket, pengamanan fisik tambahan, hingga potensi gugatan hukum kelompok.
Sementara itu, untuk operasi Storm-1175 yang mengandalkan serangan ransomware Medusa dan StormEncryptor, mereka menerapkan skema pemerasan ganda dengan meminta uang tebusan untuk dekripsi data sekaligus mencegah pembocoran dokumen internal, yang mana rata-rata klaim tebusannya berkisar antara ratusan ribu hingga jutaan dolar per korban enterprise.
Kehadiran Storm-1175 menjadi bukti nyata bahwa kesiapan patch keamanan tidak lagi cukup jika membutuhkan waktu berminggu-minggu, sebab peretas modern kini mampu menguasai seluruh jaringan perusahaan hanya dalam hitungan jam.(*)
BACA JUGA: Peretas Iran Bobol Ponsel Milik Mantan Panglima Militer Zionis Israel Herzi Halevi
