LockBit 5.0 masih aktif menyerang organisasi di seluruh dunia, dan para afiliasi grup ini telah menyempurnakan pendekatan mereka menjadi serangan dua jalur yang terbukti sulit untuk dipertahankan sepenuhnya. Menurut intelijen ancaman terbaru, kampanye pemerasan ganda LockBit 5.0 kini lebih sedikit mengandalkan enkripsi brutal semata dan lebih pada kombinasi terencana antara pencurian data dan gangguan yang dirancang untuk memaksimalkan tekanan agar korban membayar.

Ini bukanlah keluarga ransomware baru yang muncul begitu saja. LockBit memiliki sejarah panjang dan terdokumentasi dengan baik sebagai salah satu operasi ransomware-as-a-service paling produktif di dunia, dan kebangkitannya setelah upaya penumpasan Operation Cronos oleh penegak hukum telah dipantau secara ketat oleh para peneliti keamanan. Bagi pembaca yang menginginkan latar belakang lebih lengkap tentang bagaimana grup ini membangun kembali dirinya dan berevolusi ke bentuknya saat ini, penjelasan LockBit 5.0 kami mencakup sejarah tersebut secara mendalam. Artikel ini berfokus pada apa yang terjadi saat ini: mekanisme kampanye terkini dan apa yang dapat dilakukan organisasi untuk mengatasinya.

Bagaimana Serangan Pemerasan Ganda LockBit 5.0 Bekerja

Pola serangan yang digunakan para afiliasi mengikuti urutan yang disengaja. Sebelum file apa pun dienkripsi, penyerang terlebih dahulu mengeksfiltrasi data dari jaringan target menggunakan alat seperti Rclone, utilitas transfer file sah yang telah digunakan kembali untuk memindahkan data curian dalam volume besar secara diam-diam ke penyimpanan eksternal, atau malware pencuri khusus yang dirancang khusus untuk pekerjaan itu.

Hanya setelah data tersebut disalin barulah fase enkripsi dimulai, dan itu dirancang untuk berlangsung cepat. Para afiliasi menggunakan rutinitas enkripsi cepat dan berselang, artinya file dikunci secara beruntun, bukan sekaligus dalam satu proses berkelanjutan. Pendekatan ini memungkinkan penyerang mengenkripsi sejumlah besar file dengan cepat sekaligus mempersulit pendeteksian oleh alat pemantauan tradisional. File terenkripsi juga diberi ekstensi file acak, yang mempersulit upaya pemulihan dan mempersulit pelindung untuk dengan cepat mengidentifikasi cakupan dari apa yang telah terpengaruh.

Hasilnya adalah ikatan ganda bagi para korban. Bahkan jika sebuah organisasi dapat memulihkan sistem terenkripsi dari cadangan dan menghindari pembayaran untuk kunci dekripsi, penyerang masih menyimpan data curian dan dapat mengancam untuk membocorkan atau menjualnya. Pengungkit kedua itulah yang tepatnya menjadi alasan model ini tetap efektif bagi grup ransomware di seluruh industri, dan mengapa afiliasi LockBit terus mengandalkannya di lingkungan Windows, Linux, dan tervirtualisasi.

Mengapa Eksfiltrasi Data Kini Menjadi Ancaman Nyata, Bukan Sekadar Enkripsi

Sangat mudah untuk menganggap ransomware terutama sebagai masalah enkripsi file, sesuatu yang dapat Anda selesaikan dengan menjaga cadangan yang baik. Pemikiran itu melewatkan di mana letak pengungkit sebenarnya saat ini. Setelah data meninggalkan jaringan, cadangan tidak membatalkan paparan tersebut. File yang dicuri, baik itu catatan pelanggan, data keuangan, komunikasi internal, atau kekayaan intelektual, sudah berada di tangan penyerang terlepas dari apakah organisasi korban pernah membayar tebusan.

Pergeseran ini penting karena mengubah apa arti "pemulihan" sebenarnya. Memulihkan sistem dari cadangan bersih mengatasi waktu henti operasional, tetapi tidak melakukan apa pun untuk mencegah informasi sensitif dipublikasikan di situs kebocoran atau dijual ke aktor ancaman lainnya. Organisasi perlu memperlakukan eksfiltrasi data sebagai risiko utama yang harus direncanakan, bukan sebagai renungan setelah enkripsi.

Langkah-Langkah Penguatan: Pencadangan, Segmentasi, dan Kontrol Akses

Mengingat pola serangan ini, beberapa prioritas pertahanan menonjol sebagai sangat relevan dengan cara operasi afiliasi LockBit 5.0:

  • Pencadangan terenkripsi dan offline. Cadangan harus dienkripsi saat disimpan dan dijaga tetap terisolasi dari jaringan utama, idealnya dengan salinan yang tidak dapat diubah atau terpisah secara fisik (air-gapped), sehingga bahkan jika penyerang mendapatkan akses luas, mereka tidak dapat menjangkau atau merusak data pemulihan.
  • Segmentasi jaringan. Karena afiliasi memindahkan data keluar sebelum mengenkripsi, membatasi seberapa jauh penyusup dapat melintasi jaringan begitu berada di dalam mengurangi volume data yang berisiko dan jumlah sistem yang dapat terkena dampak dalam fase enkripsi.
  • Pemantauan transfer data yang tidak biasa. Karena alat eksfiltrasi seperti Rclone adalah perangkat lunak sah yang disalahgunakan, tim keamanan harus mengawasi volume transfer keluar yang tidak wajar atau penggunaan utilitas sinkronisasi file yang tidak dikenal, bukan hanya tanda tangan malware.
  • Kontrol akses yang ketat. Membatasi akun dan sistem mana yang dapat mengakses data sensitif mengurangi kumpulan informasi yang tersedia untuk dicuri bahkan jika penyerang mengkompromikan akun pijakan awal.
  • Perencanaan respons insiden yang mengasumsikan pencurian data. Rencana respons harus secara eksplisit memperhitungkan kemungkinan bahwa data telah disalin keluar sebelum enkripsi apa pun terdeteksi, sehingga kewajiban hukum, komunikasi, dan peraturan bukan menjadi renungan.

Tidak ada satu pun langkah ini yang asing. Yang penting adalah menerapkannya dengan mempertimbangkan pola spesifik LockBit 5.0: enkripsi cepat dan berselang yang didahului oleh pencurian data secara diam-diam.

Apa Artinya Ini Bagi Anda

Jika Anda menjalankan TI atau keamanan untuk organisasi dengan ukuran apa pun, kesimpulan praktisnya adalah bahwa pertahanan ransomware tidak bisa berhenti pada pencegahan enkripsi. Peristiwa pemerasan ganda LockBit 5.0 berhasil bahkan terhadap organisasi dengan praktik pencadangan yang solid, karena pencurian terjadi terlebih dahulu dan pengungkitnya tidak hanya bergantung pada enkripsi. Meninjau bagaimana data sensitif disegmentasi, siapa yang dapat mengaksesnya, dan apakah transfer keluar sedang dipantau setidaknya sama pentingnya dengan kebersihan pencadangan pada saat ini.

Untuk individu, paparannya lebih tidak langsung tetapi masih nyata. Jika perusahaan yang telah Anda beri data pribadi terkena kampanye semacam ini, informasi Anda bisa berakhir terekspos terlepas dari apakah organisasi itu membayar tebusan. Ini adalah pengingat yang baik untuk selektif tentang data pribadi apa yang Anda bagikan dengan layanan dan untuk tetap waspada terhadap pemberitahuan pelanggaran yang terkait dengan perusahaan yang Anda gunakan.

Poin-Poin Penting

Aktivitas berkelanjutan LockBit 5.0 adalah pengingat bahwa operasi ransomware-as-a-service beradaptasi dengan cepat, dan pertahanan harus mengimbangi. Untuk mengurangi risiko dari jenis kampanye ini:

  • Pertahankan pencadangan terenkripsi, offline, atau tidak dapat diubah yang tidak dapat dijangkau atau dirusak oleh penyerang
  • Segmentasikan jaringan sehingga satu akun yang dikompromikan tidak dapat menjangkau seluruh lingkungan
  • Pantau transfer data keluar yang tidak biasa, bukan hanya tanda tangan malware
  • Terapkan kontrol akses yang ketat berdasarkan kebutuhan untuk mengetahui (need-to-know) pada data sensitif
  • Bangun rencana respons insiden yang mengasumsikan eksfiltrasi data terjadi sebelum deteksi

Untuk latar belakang lebih lanjut tentang bagaimana LockBit membangun kembali operasinya setelah gangguan penegakan hukum dan apa yang berubah dalam versi terbarunya, baca penjelasan lengkap kami tentang evolusi LockBit 5.0.