Riset baru yang meneliti infrastruktur teknis di balik beberapa operasi ransomware besar, termasuk INC Ransom, Lynx, MedusaLocker, dan aktivitas terkait LockBit, menemukan bahwa meskipun beroperasi di bawah nama merek yang berbeda, kelompok-kelompok ini mengandalkan pola serangan yang sangat mirip. Konsistensi itu penting bagi siapa pun yang mencoba memahami ransomware, karena berarti alat dan taktik yang digunakan para defender untuk menangkap satu geng sering kali juga berhasil melawan beberapa geng lain sekaligus.

Infrastruktur Bersama di Balik Berbagai Merek Ransomware

Ransomware sering dibahas seolah setiap kelompok bernama merupakan perusahaan kriminal yang sepenuhnya terpisah dengan playbook uniknya sendiri. Kenyataan yang diungkap oleh riset ini lebih berantakan dan, dalam beberapa hal, lebih berguna untuk pertahanan. Dengan melacak infrastruktur, yaitu server, kanal command-and-control, dan sistem staging, yang digunakan dalam serangan terkait INC Ransom, Lynx, MedusaLocker, dan LockBit, para peneliti menemukan jejak teknis yang berulang di seluruh kampanye yang seharusnya tidak terkait.

Tumpang tindih ini mencerminkan tren yang lebih luas yang sudah terlihat di tempat lain dalam ekosistem ransomware. Sebagaimana dibahas dalam laporan tentang bagaimana kelompok ransomware mencapai rekor 93 kru aktif, dunia kriminal bawah tanah telah terfragmentasi menjadi sejumlah besar operasi bernama bahkan ketika teknik inti, dan dalam beberapa kasus infrastruktur yang sebenarnya, digunakan ulang atau dibagikan. Afiliasi ransomware-as-a-service sering berpindah antar merek, dan toolkit yang bocor atau dijual kembali berarti bahwa "kelompok" yang berbeda bisa jadi terlihat sangat mirip di balik layar.

Curi Dulu, Enkripsi Kemudian: Standar Double Extortion

Salah satu pola paling jelas yang muncul dari riset ini adalah soal waktu. Sebelum mengunci sistem korban, sebagian besar operasi ransomware yang diteliti diam-diam mengeksfiltrasi data sensitif terlebih dahulu. Enkripsi, bagian dari serangan yang disadari karena sistem tiba-tiba berhenti bekerja, sering kali menjadi langkah terakhir alih-alih yang pertama.

Urutan ini adalah tulang punggung double extortion: penyerang mencuri data secara diam-diam, lalu mengenkripsi file, kemudian mengancam akan membocorkan data yang dicuri secara publik jika tebusan tidak dibayar. Ini memberi korban dua alasan terpisah untuk membayar dan memberi penyerang pengaruh bahkan jika sebuah perusahaan dapat memulihkan sistemnya dari backup tanpa membayar kunci dekripsi. Taktik ini telah menjadi begitu standar sehingga ketiadaannya sekarang akan menjadi pengecualian alih-alih aturan, dan ini sejalan dengan temuan terpisah tentang bagaimana taktik extortion bergeser seiring pembayaran tebusan mencapai titik terendah sepanjang masa, mendorong kelompok-kelompok ke taktik tekanan yang lebih keras ketika korban menolak membayar.

Mengapa Deteksi Dini Kini Menjadi Pertahanan Terbaik

Karena pencurian data biasanya terjadi jauh sebelum enkripsi, sering kali ada jendela waktu, kadang berhari-hari atau berminggu-minggu, di mana kompromi sedang berlangsung tetapi belum berubah menjadi krisis besar. Pola infrastruktur yang diidentifikasi dalam riset ini memberi para defender cara untuk mengenali jendela tersebut: perilaku command-and-control yang berulang, teknik staging, dan tanda tangan jaringan yang muncul di seluruh aktivitas yang terkait dengan INC Ransom, Lynx, MedusaLocker, dan LockBit.

Ini penting karena pembobolan awal semakin menjadi titik terlemah yang dieksploitasi penyerang. Riset terpisah yang dibahas di situs ini menemukan bahwa 79% insiden ransomware dimulai dengan kredensial yang dicuri alih-alih eksploitasi canggih. Gabungkan itu dengan infrastruktur yang berperilaku dapat diprediksi begitu penyerang masuk, dan gambaran yang lebih jelas pun terbentuk: sebagian besar serangan ransomware bukanlah serangan zero-day yang tak terbendung. Mereka mengandalkan akses yang dicuri dan tooling yang digunakan ulang, yang keduanya meninggalkan jejak yang dapat dideteksi jika organisasi tahu apa yang harus dicari.

Apa Artinya Ini Bagi Anda

Bagi pengguna sehari-hari, riset ini adalah pengingat bahwa ransomware jarang datang entah dari mana. Biasanya ia mengikuti kata sandi yang dicuri, email phishing, atau titik akses jarak jauh yang terekspos, dan biasanya ia mencuri data jauh sebelum apa pun dikunci atau catatan tebusan muncul. Bagi bisnis dan tim TI, kesimpulannya lebih langsung: memantau pola infrastruktur yang dibagikan di antara keluarga ransomware utama dapat menangkap intrusi selama fase pencurian data, sebelum enkripsi terjadi.

Bagi individu, pertahanan praktisnya sama seperti sebelumnya: kata sandi unik, autentikasi multi-faktor, dan kehati-hatian terhadap permintaan login atau permintaan kredensial yang tidak terduga. Kelompok ransomware bergantung pada akses yang dicuri untuk masuk, jadi menutup titik akses itu menghilangkan sebagian besar keunggulan mereka sebelum taktik infrastruktur yang lebih canggih digunakan.

Poin-Poin Penting

  • Kelompok ransomware dengan nama berbeda sering berbagi infrastruktur dan taktik yang mendasari, yang berarti alat deteksi yang dibuat untuk satu geng sering kali berlaku untuk geng lain.
  • Pencurian data biasanya terjadi sebelum enkripsi, menciptakan jendela deteksi yang dapat ditindaklanjuti para defender.
  • Kredensial yang dicuri tetap menjadi titik masuk utama, menjadikan kebersihan kata sandi dan autentikasi multi-faktor sebagai beberapa pertahanan paling efektif yang tersedia.
  • Organisasi harus memprioritaskan pemantauan terhadap tanda-tanda awal intrusi, bukan hanya tahap akhir ransomware yang paling terlihat.

Memahami bagaimana infrastruktur ransomware sebenarnya bekerja, alih-alih memperlakukan setiap serangan sebagai peristiwa yang terisolasi, memberi individu maupun organisasi jalur yang lebih jelas untuk menangkap ancaman sebelum meningkat. Tetap mendapat informasi tentang pola-pola bersama ini adalah salah satu cara paling sederhana untuk tetap selangkah lebih maju.