Para peneliti keamanan membunyikan alarm mengenai taktik yang membuat sindikat ransomware Akira sangat sulit dideteksi: penyalahgunaan perangkat lunak pemantauan dan pengelolaan jarak jauh (RMM) yang sah. Alih-alih hanya mengandalkan malware khusus, para afiliasi Akira semakin beralih ke alat yang banyak dipercaya seperti TeamViewer dan AnyDesk untuk mempertahankan pijakan di dalam jaringan yang dikompromikan sambil lolos dari sistem deteksi dan respons titik akhir (EDR).
Ini bukan konsep baru dalam dunia kejahatan dunia maya, tetapi penggunaan yang berkelanjutan dan disempurnakan oleh Akira menyoroti masalah yang lebih luas: perangkat lunak yang diandalkan organisasi untuk dukungan TI yang sah dapat dengan mudah menjadi pintu belakang bagi penyerang, dan alat keamanan tradisional sering kali tidak dirancang untuk membedakannya.
Mengapa Alat Akses Jarak Jauh yang Sah Menjadi Vektor Serangan yang Ideal
Alat RMM ada untuk alasan yang baik. Departemen TI dan penyedia layanan terkelola menggunakannya setiap hari untuk memecahkan masalah perangkat, mendorong pembaruan, dan mendukung karyawan jarak jauh. Legitimasi itulah yang membuat alat-alat ini sangat berharga bagi operator ransomware.
Ketika afiliasi Akira menginstal atau membajak alat seperti TeamViewer dan AnyDesk di jaringan korban, koneksi yang dihasilkan sering kali terlihat seperti aktivitas administratif normal, bukan lalu lintas perintah-dan-kontrol yang berbahaya. Perangkat lunak keamanan yang menandai executable yang tidak dikenal atau beacon jaringan yang tidak biasa mungkin hanya membiarkan koneksi ini lewat, karena alat-alat itu sendiri ditandatangani secara digital, digunakan secara luas, dan jarang diblokir langsung oleh kebijakan perusahaan.
Pendekatan ini kadang disebut sebagai teknik "living off the land", meskipun dalam kasus ini penyerang tidak hanya menggunakan alat yang sudah ada di sistem. Mereka secara aktif menyebarkan perangkat lunak pihak ketiga tepercaya untuk menyatu dengan operasi bisnis normal, memberi mereka saluran yang persisten dan tidak mencolok kembali ke jaringan bahkan setelah intrusi awal ditemukan dan sebagian diperbaiki.
Persistensi, Bukan Hanya Akses Awal
Yang membuat tren ini sangat mengkhawatirkan adalah sudut persistensi. Kelompok ransomware tidak selalu bergerak langsung dari kompromi awal ke enkripsi. Afiliasi Akira telah menunjukkan pola membangun banyak pijakan, dan alat RMM memberi mereka cara yang andal untuk mempertahankan akses dari waktu ke waktu, bahkan jika satu titik masuk ditutup.
Ini penting karena mengubah perhitungan respons insiden bagi organisasi. Sekadar menghapus malware yang diketahui tidak cukup jika penyerang masih memiliki alat akses jarak jauh yang tampak sah yang diam di server atau workstation, siap untuk diaktifkan kembali. Tim keamanan perlu memperlakukan instalasi perangkat lunak akses jarak jauh yang tidak terduga atau tidak sah sebagai tanda bahaya serius, bukan pelanggaran kebijakan kecil.
Kecanggihan teknis kelompok ini dalam menghindari deteksi telah didokumentasikan sebelumnya. Dalam satu kasus yang diliput dalam laporan kami tentang upaya afiliasi Akira untuk menghindari EDR yang justru merusak serangannya sendiri, para peneliti di Huntress menemukan bahwa upaya penyerang untuk menonaktifkan perlindungan titik akhir menjadi bumerang, secara tidak sengaja mengganggu serangan yang mereka coba lakukan. Insiden itu adalah pengingat bahwa meskipun metode Akira canggih, metode itu tidak sempurna, dan pembela yang memantau dengan cermat dapat menangkap kesalahan yang dibuat penyerang di sepanjang jalan.
Taruhan Privasi bagi Individu dan Bisnis
Meskipun ransomware Akira terutama menargetkan organisasi, bukan konsumen individu, implikasi privasi hilirnya signifikan. Ketika Akira berhasil mengenkripsi dan mengeksfiltrasi data dari bisnis, data tersebut sering kali mencakup catatan pelanggan, informasi karyawan, rincian keuangan, dan data pribadi lainnya milik orang-orang yang tidak memiliki peran langsung dalam pelanggaran tersebut.
Kelompok ransomware seperti Akira semakin menggabungkan enkripsi dengan pencurian data, mengancam akan membocorkan file yang dicuri jika tebusan tidak dibayar. Itu berarti siapa pun yang informasi pribadinya berada di sistem organisasi yang dikompromikan, baik sebagai pelanggan, pasien, atau karyawan, dapat berakhir dengan data pribadi mereka terekspos terlepas dari seberapa kuat kebiasaan keamanan pribadi mereka.
Apa Artinya Ini Bagi Anda
Jika Anda bekerja di operasi TI atau keamanan, perkembangan ini adalah panggilan langsung untuk mengaudit alat akses jarak jauh mana yang diizinkan di jaringan Anda dan memantau instalasi tidak sah dari perangkat lunak seperti TeamViewer atau AnyDesk. Alat akses jarak jauh yang tidak dapat dijelaskan yang muncul di titik akhir harus memicu tingkat pengawasan yang sama seperti malware yang tidak dikenal.
Bagi pengguna sehari-hari dan konsumen, kesimpulannya lebih tidak langsung tetapi tetap penting. Karena serangan ransomware Akira dapat mengekspos data pribadi yang dipegang oleh bisnis yang Anda gunakan, penting untuk memperhatikan pemberitahuan pelanggaran dari perusahaan yang Anda gunakan dan bertindak cepat jika informasi Anda terlibat.
Kesimpulan yang Dapat Ditindaklanjuti
Organisasi harus membatasi alat akses jarak jauh mana yang diizinkan di jaringan dan memberikan peringatan untuk alat lainnya. Memantau perangkat lunak RMM yang diinstal di luar alur kerja TI yang disetujui sangat penting, karena penyerang mengandalkan alat-alat ini untuk menyatu dengan lalu lintas normal. Autentikasi multi-faktor pada akun akses jarak jauh, audit rutin perangkat lunak yang diinstal, dan tinjauan ketat terhadap koneksi keluar yang tidak biasa semuanya membantu mengurangi risiko ransomware Akira atau kelompok serupa dapat mempertahankan akses secara diam-diam. Bagi individu, tetap waspada terhadap pemberitahuan pelanggaran dan menggunakan kata sandi unik di seluruh akun tetap menjadi salah satu cara paling sederhana untuk membatasi dampak ketika perusahaan yang Anda andalkan menjadi target.
