ITSEC Ungkap Pola Serangan GodDamn Ransomware

Serangan ransomware ternyata dapat dideteksi sebelum proses enkripsi berjalan penuh. Dilansir dari Medcom, ITSec mengungkap pola operasi GodDamn Ransomware melalui riset threat intelligence terbaru.

Riset tersebut dituangkan dalam whitepaper berjudul From Sample to Signal: Uncovering the GodDamn Ransomware Operation. Kajian ini menunjukkan bahwa aktivitas peretasan berlangsung melalui beberapa tahap sebelum korban menyadari adanya gangguan.

ITSec menemukan berbagai sinyal awal yang muncul sebelum file terenkripsi. Indikator tersebut mencakup eksekusi kode mencurigakan hingga perubahan pada Registry dan service sistem.

Selain itu, aktivitas pemindaian Address Resolution Protocol atau ARP, probing Server Message Block atau SMB, serta modifikasi file dalam jumlah besar juga menjadi tanda yang perlu diperhatikan.

Sampel yang dianalisis memperlihatkan kemampuan pemrosesan dan enkripsi pada lingkungan sistem operasi Windows maupun Linux. Temuan ini memperlihatkan bahwa ransomware bukan hanya muncul saat tahap akhir serangan.

Dalam salah satu insiden yang dikaji, penyerang lebih dulu menggunakan akses jarak jauh, melakukan pengumpulan kredensial, memetakan jaringan, dan menjalankan pergerakan lateral.

Sebelum deployment ransomware dilakukan secara menyeluruh, sedikitnya sepuluh host dalam jaringan telah terdampak. Kondisi tersebut menunjukkan pentingnya pemantauan aktivitas mencurigakan sejak fase awal.

President Director ITSEC Asia, Patrick Dannacher, menilai organisasi dan pelaku industri perlu mengubah cara memahami ancaman ransomware. Menurutnya, ransomware merupakan proses intrusi berkelanjutan, bukan hanya malware yang mengenkripsi file.

"Ransomware sering kali baru terlihat ketika file sudah terenkripsi dan operasional mulai terganggu. Padahal sebelum itu, penyerang bisa saja sudah memperoleh akses, mengumpulkan kredensial, dan bergerak di dalam jaringan. Karena itu, kemampuan mendeteksi aktivitas yang tidak wajar sejak tahap awal menjadi sangat krusial," ujar Patrick.

Penelitian tersebut juga mencatat penggunaan PoisonX, sebuah malicious kernel driver yang dimanfaatkan penyerang. Teknologi itu digunakan untuk mengganggu proses produk keamanan endpoint sebelum enkripsi dimulai.

ITSEC Asia mengelompokkan temuan tersebut sebagai Reported karena berasal dari investigasi eksternal. Metodologi penelitian membagi data menjadi Observed, Reported, dan Assessed agar analisis tidak digeneralisasi dari satu sampel atau insiden.

Perusahaan merekomendasikan organisasi memperkuat behavioral detection, meningkatkan visibilitas endpoint dan jaringan, serta memperbaiki perlindungan infrastruktur cadangan melalui backup and recovery.

Tim keamanan siber juga diimbau memantau beberapa aktivitas berisiko. Di antaranya akses jarak jauh yang tidak biasa, SMB probing, pergerakan lateral, dan perubahan file dengan volume tinggi.

"Semakin cepat organisasi dapat menghubungkan sinyal dari identitas, endpoint, dan jaringan, semakin besar kesempatan untuk menghentikan serangan sebelum mencapai sistem yang lebih kritis. Fokus pertahanan perlu bergeser dari sekadar mencari indikator malware menjadi memahami perilaku yang muncul sepanjang rangkaian serangan," tambah Patrick.

PT ITSec Asia Tbk merupakan perusahaan keamanan siber publik yang didukung oleh lebih dari 300 ahli profesional. Tenaga tersebut berada di Indonesia, Singapura, Australia, dan Mauritius.

Perusahaan ini terverifikasi oleh BSSN dan memegang sertifikasi ISO 27001, ISO 9001, ISO 14001. ITSec Asia juga merupakan anggota resmi CREST.

Selain layanan keamanan siber, ITSec Asia mengembangkan platform pemantauan keamanan siber real-time buatan lokal bernama IntelliBroń.

Riset From Sample to Signal: Uncovering the GodDamn Ransomware Operation menekankan bahwa deteksi berbasis perilaku menjadi faktor penting. Pendekatan tersebut membantu mengidentifikasi rangkaian aktivitas sebelum kerusakan utama terjadi.

Melalui analisis sinyal awal, organisasi dapat memahami bahwa proses serangan ransomware memiliki tahapan panjang. Pemantauan identitas, endpoint, dan jaringan menjadi bagian penting dalam strategi pertahanan.