Sebagian besar berita utama tentang ransomware berfokus pada segelintir nama besar yang sama, tetapi kategori pelaku ancaman yang lebih senyap terbukti sama merusaknya. Kelompok ransomware yang kurang dikenal semakin banyak meninggalkan jaringan afiliasi luas yang membuat kelompok seperti LockBit dan Cl0p terkenal, dan lebih memilih tim kecil dan disiplin yang lebih sulit disusupi dan lebih sulit diprediksi. Royal, kelompok yang muncul sekitar September, adalah salah satu contoh paling jelas dari pergeseran ini, dan menawarkan studi kasus yang berguna tentang mengapa lebih kecil tidak berarti lebih aman bagi bisnis yang menjadi target kelompok-kelompok ini.
Model Bisnis yang Berbeda: Kru Tertutup Dibandingkan Afiliasi
Sebagian besar operasi ransomware besar berjalan dengan model afiliasi, atau ransomware-as-a-service. Pengembang inti membangun dan memelihara malware, lalu melisensikannya kepada sekumpulan afiliasi yang bergilir yang melakukan intrusi sebenarnya dengan imbalan bagian dari tebusan. Ini adalah struktur yang efisien yang memungkinkan satu perangkat malware berkembang ke lusinan atau ratusan serangan simultan, tetapi juga menciptakan titik lemah. Afiliasi menjadi ceroboh, membocorkan detail, atau ditangkap, dan penegak hukum telah mencapai keberhasilan nyata dalam mengurai jaringan ini dengan memburu mata rantai terlemah.
Royal melewati model itu sepenuhnya. Alih-alih merekrut basis afiliasi yang luas, kelompok ini beroperasi dengan tim inti yang lebih kecil dan lebih erat yang diyakini mencakup mantan anggota Conti, salah satu operasi ransomware paling produktif dan canggih secara teknis sebelum terpecah. Latar belakang itu penting. Kelompok yang dibangun di sekitar operator berpengalaman yang sudah tahu cara bergerak melalui jaringan korporat, menghindari deteksi, dan menegosiasikan tebusan tidak membutuhkan skala untuk menjadi efektif. Mereka membutuhkan disiplin, dan struktur tertutup lebih mudah untuk menjaga disiplin.
Bagi para defender, ini adalah perubahan yang berarti dalam lanskap ancaman. Kelompok yang digerakkan oleh afiliasi sering meninggalkan jejak taktik yang tidak konsisten karena begitu banyak orang berbeda menggunakan perangkat yang sama. Sebaliknya, kru tertutup seperti Royal cenderung beroperasi dengan konsistensi dan keamanan operasional yang lebih tinggi, yang dapat membuat aktivitasnya lebih sulit diidentifikasi dan diatribusikan pada tahap awal intrusi.
Double Extortion Tetap Menjadi Benang Merah
Terlepas dari perbedaan struktural, Royal berbagi satu taktik dengan hampir semua kelompok ransomware aktif lainnya saat ini: double extortion. Alih-alih sekadar mengenkripsi file korban dan menuntut pembayaran untuk kunci dekripsi, kelompok ini terlebih dahulu mengeksfiltrasi data sensitif dari jaringan. Jika tebusan tidak dibayar, ancamannya bukan hanya file yang terkunci, melainkan publikasi data curian, yang dapat mencakup catatan pelanggan, informasi keuangan, atau komunikasi internal.
Kampanye tekanan dua arah ini telah menjadi standar industri karena berhasil. Bahkan organisasi dengan sistem backup yang solid yang dapat memulihkan data terenkripsi tanpa membayar tetap menghadapi dampak reputasi dan regulasi dari kebocoran data. Ini adalah taktik yang muncul di seluruh ekosistem ransomware terlepas dari ukuran atau ketenaran suatu kelompok. Pendatang baru yang lebih kecil menggunakannya sama mudahnya dengan nama-nama mapan. Kasus terbaru M3RX ransomware mengklaim firma perangkat lunak Spanyol dan mencuri ratusan gigabyte data mengikuti playbook yang sama: infiltrasi, eksfiltrasi, enkripsi, dan ancam pengungkapan sampai pembayaran dilakukan.
Apa yang pola ini sampaikan kepada bisnis adalah bahwa ukuran atau ketenaran kelompok ransomware adalah proksi yang buruk untuk risiko. Kru yang relatif tidak dikenal dengan segelintir operator terampil dapat menjalankan serangan double-extortion yang sama, dengan konsekuensi yang sama, seperti kelompok yang mendominasi berita utama.
Apa Artinya Ini Bagi Anda
Bagi tim keamanan dan pemilik bisnis, pelajaran dari Royal dan kelompok serupa adalah bahwa pemantauan ancaman yang dibangun hanya berdasarkan daftar pendek nama ransomware terkenal tidaklah lengkap. Kelompok ransomware yang kurang dikenal sering kali diisi oleh operator berpengalaman dari organisasi yang dibubarkan atau di-rebranding, yang berarti kemampuan mereka dapat menyaingi nama-nama besar bahkan tanpa jejak publik yang besar.
Ini juga memiliki implikasi langsung terhadap cara organisasi memikirkan akses jaringan. Karena double extortion bergantung pada kemampuan penyerang untuk bergerak melalui jaringan dan menarik data sebelum memicu enkripsi, membatasi pergerakan lateral adalah salah satu pertahanan paling efektif yang tersedia. Segmentasi jaringan yang kuat, kontrol akses yang ketat, dan pemantauan transfer data keluar yang tidak biasa dapat menangkap intrusi sebelum eksfiltrasi selesai, bahkan jika pelanggaran awal tidak dihentikan. Alat akses jarak jauh yang aman, termasuk VPN yang dikonfigurasi dengan benar dengan autentikasi multi-faktor, tetap menjadi salah satu cara paling sederhana untuk mengurangi permukaan serangan yang terbuka yang diandalkan kelompok seperti Royal untuk mendapatkan pijakan awal.
Langkah-Langkah yang Dapat Ditindaklanjuti
Bisnis tidak perlu melacak setiap kelompok ransomware yang tidak dikenal berdasarkan nama untuk melindungi diri mereka sendiri, tetapi mereka perlu berasumsi bahwa setiap sistem yang belum ditambal atau titik akses jarak jauh yang terbuka adalah pintu masuk potensial bagi kelompok yang belum pernah mereka dengar. Beberapa langkah praktis membuat perbedaan nyata: jaga alat akses jarak jauh tetap ditambal dan di belakang autentikasi multi-faktor, segmentasikan jaringan sehingga satu akun yang disusupi tidak dapat menjangkau data sensitif, pantau transfer data keluar yang besar atau tidak biasa yang dapat mengindikasikan eksfiltrasi sedang berlangsung, dan pertahankan backup offline yang diuji secara teratur, bukan hanya disimpan.
Kelompok ransomware yang kurang dikenal bukanlah catatan kaki bagi nama-nama besar yang mendominasi berita. Seperti yang ditunjukkan Royal dan operasi kru tertutup yang lebih kecil lainnya, visibilitas yang berkurang sering kali datang dengan keterampilan operasional yang meningkat, bukan risiko yang berkurang. Memperlakukan setiap kelompok, yang dikenal atau tidak, dengan tingkat ketelitian defensif yang sama adalah cara paling andal untuk tetap selangkah lebih maju dari mereka.
