Menelisik Lebih Dekat Enkriptor Berbasis Rust milik DeadLock
Sebuah analisis teknis baru dari para peneliti keamanan di SOCFortress, yang diterbitkan di Medium pada Agustus 2026, memberikan gambaran rinci kepada para pembela tentang ransomware DeadLock, sebuah operasi yang didorong secara finansial yang secara diam-diam telah membangun salah satu infrastruktur pemerasan paling tangguh yang pernah terlihat dalam ingatan baru-baru ini. Penelitian ini menggali bagaimana enkriptor malware tersebut dibangun, mengapa kelompok itu memilih bahasa pemrograman Rust, dan bagaimana DeadLock telah merekayasa sistem pemulihan dan komunikasinya untuk bertahan dari upaya penegakan hukum dan penutupan keamanan.
Rust telah menjadi pilihan yang semakin populer di kalangan pengembang ransomware karena mengompilasi biner yang cepat dan aman untuk memori yang terkenal sulit untuk direkayasa balik oleh analis keamanan dibandingkan dengan malware yang ditulis dalam bahasa lama seperti C atau Delphi. Bagi DeadLock, hal itu berarti enkriptor yang tidak hanya mengunci file korban dengan cepat tetapi juga menolak jenis analisis statis yang biasanya diandalkan peneliti untuk membangun tanda deteksi atau alat pemulihan. Pelaporan sebelumnya tentang kelompok ini telah merinci bagaimana ransomware DeadLock mematikan Windows Defender, menonaktifkan cadangan, dan menghapus log peristiwa sebelum enkripsi bahkan dimulai, sebuah kombinasi yang menghilangkan pertahanan terakhir korban dan bukti forensik yang diperlukan untuk merekonstruksi apa yang terjadi.
Infrastruktur Pemulihan Terdesentralisasi yang Dibangun untuk Bertahan dari Upaya Penutupan
Yang membedakan DeadLock dari banyak rekan ransomware-nya bukan hanya enkriptornya itu sendiri, tetapi infrastruktur yang membungkusnya. Operasi ransomware tradisional bergantung pada server komando-dan-kontrol terpusat, situs kebocoran, dan portal negosiasi, yang semuanya dapat disita, di-sinkhole, atau masuk daftar hitam begitu peneliti mengidentifikasinya. DeadLock telah mengambil pendekatan yang berbeda dengan mendistribusikan bagian-bagian penting dari operasinya ke platform terdesentralisasi yang jauh lebih sulit untuk dimatikan.
Para peneliti telah menemukan bahwa kelompok itu menyimpan sebagian dari konfigurasi komando-dan-kontrolnya langsung di blockchain, sebuah pendekatan yang didokumentasikan dalam pelaporan tentang bagaimana ransomware DeadLock menggunakan blockchain untuk menghindari penutupan. Karena catatan blockchain bersifat kekal dan terdistribusi di ribuan node, tidak ada satu server pun yang dapat dibawa offline oleh para pembela. Analisis terkait secara khusus menghubungkan perilaku ini dengan blockchain Polygon, yang telah digunakan kelompok itu untuk menjangkarkan data konfigurasi di luar jangkauan penutupan infrastruktur konvensional.
DeadLock juga telah memindahkan komunikasi korban menjauh dari portal negosiasi web gelap tradisional. Kelompok itu telah mengadopsi aplikasi pesan terenkripsi Session untuk negosiasi tebusan, sebuah pergeseran yang tercakup dalam liputan sebelumnya tentang bagaimana ransomware DeadLock menambahkan aplikasi Session untuk menghindari penutupan. Desain Session yang terdesentralisasi dan tahan-metadata membuatnya jauh lebih sulit bagi penyelidik untuk menelusuri komunikasi kembali ke operator, menambahkan lapisan ketahanan lain pada operasi yang sudah sulit diganggu.
Cakupan Kerusakan Sejauh Ini
Kecanggihan teknis di balik DeadLock bukanlah hal yang teoretis. Pada Juli 2026, operasi itu telah dikaitkan dengan lebih dari 80 korban yang diketahui, menurut pelacakan intelijen ancaman yang dikutip di samping penelitian yang lebih luas tentang kelompok itu. Dampak finansial dan reputasi dari serangan-serangan ini sangat signifikan. Salah satu insiden yang paling menonjol melibatkan perusahaan biofarmasi Diater, di mana pelanggaran ransomware DeadLock mengekspos catatan selama satu dekade, menggarisbawahi bagaimana taktik pemerasan ganda, mencuri data sebelum mengenkripsinya, dapat menyebabkan kerugian yang bertahan lama bahkan bagi organisasi yang berhasil memulihkan sistem mereka.
Apa Artinya Ini Bagi Anda
Bagi pengguna sehari-hari, DeadLock adalah pengingat bahwa kelompok ransomware semakin profesional dengan cepat. Ini bukan peretas tunggal dengan skrip enkripsi sederhana; ini adalah operasi yang menggunakan bahasa pemrograman modern, teknologi blockchain, dan aplikasi pesan yang berfokus pada privasi untuk membangun sesuatu yang lebih mirip bisnis terdistribusi yang tangguh. Jika Anda bekerja di organisasi yang dapat menjadi sasaran, atau jika Anda adalah konsumen yang data pribadinya mungkin ikut tersapu dalam pelanggaran perusahaan seperti yang terjadi di Diater, risiko praktisnya sama: data yang dicuri dapat terekspos atau dijual terlepas dari apakah tebusan dibayar atau tidak.
Kabar baiknya adalah bahwa fundamental pertahanan ransomware tidak berubah hanya karena infrastruktur di baliknya menjadi lebih canggih. Penyerang masih membutuhkan pijakan awal, apakah melalui phishing, akses jarak jauh yang terekspos, atau perangkat lunak yang tidak diperbarui, sebelum enkriptor apa pun dapat dijalankan.
Tindakan yang Dapat Diambil
Pertahankan cadangan offline yang teruji yang tidak dapat dijangkau atau dinonaktifkan dari jarak jauh oleh ransomware. Jaga pembaruan perlindungan titik akhir dan alat pencatatan, karena DeadLock secara khusus menargetkan alat seperti Windows Defender dan log peristiwa untuk menghapus jejaknya. Bersikaplah skeptis terhadap lampiran atau tautan yang tidak diminta, karena akses awal biasanya masih dimulai dengan rekayasa sosial dasar. Jika Anda menerima pemberitahuan bahwa data Anda terlibat dalam pelanggaran yang terkait dengan kelompok ransomware, anggap serius dan pantau tanda-tanda pencurian identitas atau penyalahgunaan kredensial. Seperti yang ditunjukkan ransomware DeadLock, tetap terinformasi tentang bagaimana kelompok-kelompok ini berkembang adalah salah satu langkah paling praktis yang dapat diambil siapa pun untuk melindungi data mereka.
