Cara yang Lebih Senyap untuk Membutakan Pertahanan Anda
Operator ransomware telah lama mencoba mematikan perangkat lunak keamanan sebelum melancarkan serangan, menonaktifkan alat antivirus, agen endpoint detection and response (EDR), dan layanan pencadangan sehingga tidak ada yang menghalangi enkripsi. Namun, generasi alat yang lebih baru, kadang disebut "pembunuh ransomware," mengambil pendekatan yang lebih halus. Alih-alih menghentikan proses keamanan secara langsung, alat ini menimpa memori proses secara presisi sambil membiarkan aplikasi tetap berjalan secara teknis.
Perbedaan ini lebih penting daripada yang terdengar. Ketika proses keamanan dimatikan, biasanya proses itu hilang dari daftar proses sistem, dan banyak organisasi memiliki pemantauan yang secara khusus menandai jenis kehilangan tersebut. Layanan pengawas, konsol manajemen, atau aturan peringatan dapat menangkap momen ketika proses antivirus berhenti merespons dan membunyikan alarm. Dengan menimpa memori proses itu sebagai gantinya, penyerang dapat melumpuhkan kemampuannya untuk mendeteksi atau merespons ancaman sementara proses itu sendiri masih tampak aktif bagi siapa pun yang melihat task manager atau pemeriksaan kesehatan dasar.
Mengapa Menimpa Memori Lebih Sulit Dideteksi
Teknik ini mengeksploitasi celah antara apa yang dirancang untuk dipantau oleh alat keamanan dan apa yang sebenarnya menunjukkan adanya kompromi. Sebagian besar lapisan pertahanan dibangun di atas asumsi bahwa agen keamanan yang berfungsi berarti perlindungan masih utuh. Jika proses ada dan berjalan, asumsinya adalah proses itu menjalankan tugasnya. Pembunuh ransomware yang memanipulasi memori secara langsung meruntuhkan asumsi tersebut tanpa memicu sinyal yang jelas, seperti kerusakan atau penghentian proses, yang diandalkan oleh banyak sistem deteksi.
Ini adalah evolusi alami dari tren yang telah mengubah cara kelompok ransomware beroperasi. Seperti yang dibahas dalam tinjauan terbaru tentang kerangka kerja ransomware pembunuh EDR, penyerang telah beralih dari berlomba mengenkripsi file sebelum pertahanan bereaksi, menuju melumpuhkan pertahanan tersebut terlebih dahulu secara metodis. Teknik menimpa memori mewakili langkah berikutnya dalam buku pedoman yang sama: alih-alih hanya menonaktifkan alat, penyerang belajar membuatnya tampak seolah tidak terjadi apa-apa.
Bagi tim keamanan, ini menimbulkan masalah praktis. Strategi deteksi yang bergantung pada "apakah proses keamanan masih berjalan" sebagai proksi untuk "apakah endpoint masih terlindungi" dapat dikalahkan secara diam-diam. Itu tidak berarti alat ini tidak berguna, tetapi berarti organisasi memerlukan sinyal tambahan, seperti memverifikasi bahwa suatu proses benar-benar berperilaku normal, bukan hanya bahwa proses itu ada, untuk menangkap jenis perusakan ini.
Pola Penghindaran EDR dan Antivirus yang Lebih Luas
Perkembangan ini sesuai dengan pola yang lebih luas di mana kelompok ransomware memperlakukan perangkat lunak keamanan sebagai rintangan pertama yang harus dihilangkan, bukan sebagai pemikiran belakangan. Penyerang semakin banyak membangun alat khusus hanya untuk menonaktifkan atau melewati produk deteksi sebelum menyebarkan muatan ransomware yang sebenarnya. Pergeseran ke arah manipulasi memori, alih-alih penghentian langsung, menunjukkan bahwa kelompok-kelompok ini secara aktif beradaptasi dengan para pembela yang semakin mahir mendeteksi versi kasar dari serangan ini. Seiring pertahanan berlapis seperti yang diminta oleh kerangka kerja ransomware pembunuh EDR menjadi saran standar, penyerang juga menyempurnakan metode mereka untuk menyelinap melewati lapisan-lapisan itu.
Apa Artinya Bagi Anda
Bagi pengguna individu, serangan semacam ini tidak mungkin muncul secara langsung, karena menargetkan infrastruktur keamanan perusahaan, bukan perangkat pribadi. Namun, pelajaran mendasarnya berlaku secara luas: keberadaan alat keamanan di sistem Anda bukanlah jaminan bahwa alat itu berfungsi dengan benar. Pembunuh ransomware adalah pengingat bahwa penyerang semakin fokus untuk melumpuhkan perlindungan secara diam-diam alih-alih memicu alarm yang terlihat, sehingga penting untuk memperhatikan apakah perangkat lunak keamanan Anda benar-benar berperilaku normal, bukan hanya apakah sudah terpasang dan berjalan.
Bagi tim TI dan keamanan, teknik ini menegaskan perlunya melampaui pemeriksaan sederhana "apakah proses masih hidup." Pemantauan harus mencakup verifikasi perilaku dari alat keamanan itu sendiri, memeriksa bahwa mereka benar-benar memindai, memperbarui, dan melaporkan seperti yang diharapkan, bukan hanya menempati slot di daftar proses. Pertahanan berlapis, pemantauan redundan, dan verifikasi out-of-band terhadap kesehatan alat keamanan semuanya menjadi lebih penting seiring penyerang semakin mahir memalsukan kenormalan.
Hal-Hal yang Dapat Dilakukan
- Jangan hanya mengandalkan keberadaan proses sebagai bukti bahwa perangkat lunak keamanan berfungsi; verifikasi perilaku, bukan hanya keberadaannya.
- Pastikan alat keamanan memiliki pemeriksaan integritas atau fitur perlindungan terhadap perusakan yang diaktifkan jika tersedia.
- Bangun pemantauan yang menandai aktivitas memori yang tidak biasa di sekitar proses keamanan penting, bukan hanya kerusakan atau penghentian.
- Selalu perbarui alat deteksi endpoint, karena vendor sering menambal terhadap teknik penghindaran yang diketahui begitu ditemukan.
- Perlakukan setiap laporan tentang alat "pembunuh ransomware" sebagai sinyal untuk meninjau bagaimana organisasi Anda memverifikasi kesehatan pertahanannya sendiri, bukan hanya apakah secara teknis sedang berjalan.
Seiring kelompok ransomware terus menyempurnakan cara mereka melumpuhkan alat keamanan tanpa memicu alarm yang jelas, tetap mengikuti informasi tentang teknik penghindaran ini adalah salah satu cara paling sederhana untuk tetap selangkah lebih maju.
