Selama bertahun-tahun, gambaran khas ransomware adalah file yang terenkripsi dan catatan tebusan di layar. Taktik baru yang dijelaskan oleh PortalGeek mengubah skenario itu: ransomware tanpa enkripsi living off the land melumpuhkan jaringan perusahaan tanpa mengenkripsi satu file pun, dengan mengandalkan alat-alat milik organisasi itu sendiri. Hasilnya tetap sama, sebuah perusahaan yang berhenti beroperasi, tetapi jalur untuk sampai ke sana lebih sulit dideteksi.

Artikel ini menjelaskan cara kerjanya, mengapa ia begitu licin, dan apa yang sebaiknya diperiksa baik oleh perusahaan maupun individu yang bekerja dari rumah.

Cara kerja ransomware tanpa enkripsi

Menurut informasi yang dipublikasikan, taktik ini melumpuhkan operasional jaringan perusahaan tanpa menggunakan enkripsi file, yang justru sering diawasi oleh banyak pertahanan. Alih-alih menyebarkan program berbahaya yang sangat terlihat, penyerang memanfaatkan utilitas yang sudah ada di lingkungan: alat administrasi seperti PowerShell dan perangkat lunak akses jarak jauh.

Pendekatan ini dikenal sebagai "living off the land" (hidup dari tanah): penyusup menggunakan apa yang sudah terpasang. Tanpa mengenkripsi data, ia dapat mengganggu layanan, memblokir akses, atau melumpuhkan sistem, dan dampaknya terhadap kelangsungan bisnis tetap sama seriusnya. Bagi sebuah perusahaan, tidak dapat beroperasi adalah masalah utama, terlepas dari apakah file mereka terenkripsi atau tidak.

Mengapa penggunaan alat yang sah mempersulit deteksinya

Kuncinya adalah tidak ada yang dijalankan penyerang yang tampak aneh pada pandangan pertama. PowerShell digunakan setiap hari oleh administrator sistem, dan perangkat lunak akses jarak jauh adalah komponen biasa dalam dukungan teknis. Jika penyerang dengan kredensial yang valid menjalankan alat yang sama, aktivitasnya dapat disalahartikan sebagai pekerjaan rutin.

Ini memiliki beberapa konsekuensi praktis:

  • Lebih sedikit sinyal klasik. Antivirus yang mencari file berbahaya yang diketahui memiliki sedikit yang bisa diblokir ketika program yang sah digunakan.
  • Fokus bergeser ke kredensial. Jika aksesnya valid, pertanyaannya bukan lagi "perangkat lunak apa ini?", melainkan "siapa yang menggunakannya dan dari mana?".
  • Perilaku menjadi lebih penting. Mendeteksi penggunaan alat yang tidak biasa (pada jam yang aneh, dari perangkat yang tak terduga) menjadi lebih berguna daripada mendeteksi file tertentu.

Ini bukan ancaman yang dapat diselesaikan dengan satu produk saja. Diperlukan lapisan: kontrol akses, visibilitas, dan kemampuan pemulihan.

Apa artinya bagi kerja jarak jauh dan jaringan rumah

Jaringan perusahaan tidak berakhir di kantor. Setiap laptop yang terhubung dari rumah, setiap alat akses jarak jauh, dan setiap kata sandi yang digunakan ulang memperluas permukaan yang dapat dimasuki penyerang. Jika metode ini bergantung pada penggunaan akses yang sah, kredensial mereka yang bekerja dari jarak jauh menjadi pintu yang sangat berharga.

Dalam praktiknya, keamanan jaringan rumah memengaruhi keamanan perusahaan:

  • Router dengan kata sandi pabrik atau firmware yang tidak diperbarui adalah titik lemah.
  • Kata sandi yang diulang antara layanan pribadi dan korporat memudahkan kebocoran dari pihak lain akhirnya memengaruhi pekerjaan.
  • Program akses jarak jauh yang terpasang dan terlupakan, atau tanpa autentikasi yang diperkuat, menawarkan jalur langsung menuju perangkat.

Konteks umum juga penting. Seperti yang kami bahas dalam analisis kami tentang peningkatan korban ransomware di Spanyol dan pencurian data dengan AI, ancaman terus tumbuh dan memengaruhi baik organisasi maupun individu yang terhubung dengannya.

Langkah praktis: MFA, hak istimewa minimum, pemantauan, dan cadangan

Tidak satu pun dari langkah-langkah ini yang baru, tetapi bersama-sama sangat mengurangi ruang gerak bagi mereka yang mencoba menyalahgunakan alat yang sah.

  1. Autentikasi multifaktor (MFA). Aktifkan di email, VPN korporat, desktop jarak jauh, dan panel administrasi mana pun. Jika kata sandi bocor, MFA menambahkan hambatan penting.
  2. Hak istimewa minimum. Setiap akun seharusnya hanya memiliki izin yang dibutuhkannya. Jika pengguna biasa tidak perlu menjalankan PowerShell dengan hak yang ditinggikan, lebih baik dibatasi.
  3. Kontrol perangkat lunak akses jarak jauh. Pertahankan inventaris alat mana yang diizinkan dan hapus yang tidak digunakan.
  4. Pemantauan perilaku. Catat dan tinjau aktivitas alat administrasi, dan tetapkan peringatan untuk penggunaan di luar kebiasaan.
  5. Cadangan yang terisolasi dan teruji. Simpan salinan terpisah dari jaringan utama dan periksa apakah dapat dipulihkan. Jika yang diblokir adalah sistem, bukan hanya file, rencana pemulihan yang terdokumentasi juga diperlukan.
  6. Higiene rumah. Ubah kredensial router, perbarui firmware-nya, gunakan kata sandi unik dengan pengelola, dan jaga sistem operasi tetap mutakhir.

Kesimpulan: tinjau konfigurasi Anda sebelum penyerang melakukannya

Ransomware tanpa enkripsi living off the land mengingatkan bahwa bahaya tidak selalu datang dalam bentuk file yang mencurigakan. Terkadang ia datang dengan akun yang valid dan alat yang sudah ada di perangkat Anda. Itulah sebabnya pertahanan harus melalui perlindungan kredensial, pembatasan izin, pemantauan perilaku, dan memastikan Anda dapat pulih.

Luangkan beberapa menit minggu ini untuk meninjau konfigurasi kerja jarak jauh Anda: apakah Anda sudah mengaktifkan MFA di akun-akun kunci Anda? Sudahkah Anda mengubah kata sandi administrasi router Anda? Apakah cadangan Anda terisolasi dan sudah diuji? Untuk lebih memahami dimensi masalahnya, Anda dapat membaca artikel kami tentang tren ransomware di Spanyol.