ITSEC Asia Ungkap Pola Serangan GodDamn Ransomware: Ancaman Dimulai Jauh Sebelum Enkripsi File

Serangan Ransomware Bukan Hanya Soal Enkripsi File

Ketika ransomware mulai mengenkripsi file dan menampilkan pesan tebusan, serangan sebenarnya sudah berlangsung selama berhari-hari. Pelaku telah lebih dulu masuk ke jaringan, mencuri kredensial, memetakan perangkat, dan bergerak secara lateral sebelum akhirnya menjalankan payload ransomware. Pola tersebut menjadi temuan utama dalam riset terbaru ITSEC Asia melalui whitepaper bertajuk From Sample to Signal: Uncovering the GodDamn Ransomware Operation.

Analisis Mendalam oleh Tim Threat Intelligence ITSEC Asia

Melalui tim Threat Intelligence-nya, ITSEC Asia menganalisis operasi GodDamn ransomware dan menemukan berbagai aktivitas yang dapat menjadi sinyal serangan sebelum tahap enkripsi dimulai. Temuan ini memperlihatkan bahwa menghadapi ransomware tidak cukup hanya dengan mendeteksi file berbahaya. Organisasi perlu mengenali rangkaian perilaku mencurigakan yang muncul sejak tahap awal intrusi.

Aktivitas Mencurigakan Sebelum Deployment Ransomware

Dalam analisis terhadap sampel GodDamn ransomware, ITSEC Asia menemukan sejumlah aktivitas yang dapat digunakan sebagai indikator serangan. Di antaranya meliputi eksekusi mencurigakan, perubahan Registry dan service, ARP scanning, SMB probing, modifikasi file dalam jumlah besar, hingga pembuatan ransom note. Sampel yang dianalisis juga memperlihatkan kemampuan pemrosesan dan enkripsi pada lingkungan Windows dan Linux.

Namun, yang menarik bukan hanya kemampuan ransomware dalam mengenkripsi file. ITSEC Asia justru menyoroti aktivitas yang terjadi sebelum ransomware deployment. Pada salah satu insiden yang dikaji, pelaku diketahui melakukan remote access, mengumpulkan kredensial, menjalankan network discovery, dan melakukan lateral movement. Sedikitnya 10 host terdampak sebelum ransomware akhirnya dideploy.

Artinya, ketika organisasi melihat file mulai terenkripsi, pelaku kemungkinan sudah memiliki pijakan di dalam jaringan dan melakukan berbagai aktivitas untuk memperluas akses.

Mengubah Paradigma: Ransomware sebagai Rangkaian Aktivitas

President Director ITSEC Asia, Patrick Dannacher, mengatakan organisasi perlu mengubah cara melihat ransomware. Menurutnya, proses serangan harus dipahami sebagai sebuah rangkaian aktivitas. Enkripsi hanyalah salah satu tahapan yang muncul setelah penyerang berhasil memperoleh akses dan melakukan persiapan di dalam jaringan.

“Ransomware sering kali baru terlihat ketika file sudah terenkripsi dan operasional mulai terganggu. Padahal sebelum itu, penyerang bisa saja sudah memperoleh akses, mengumpulkan kredensial dan bergerak di dalam jaringan. Karena itu, kemampuan mendeteksi aktivitas yang tidak wajar sejak tahap awal menjadi sangat krusial,” ujar Patrick.

Pendekatan tersebut membuat behavioral detection menjadi semakin penting. Alih-alih hanya mencari signature malware, tim keamanan perlu melihat hubungan antara aktivitas identitas, endpoint, dan jaringan. Kombinasi beberapa aktivitas yang tampak kecil secara terpisah dapat menjadi sinyal yang lebih berarti ketika dilihat sebagai satu rangkaian serangan.

PoisonX: Kernel Driver Berbahaya untuk Menonaktifkan Proteksi

Riset ITSEC Asia juga mencatat laporan mengenai PoisonX, malicious kernel driver yang disebut digunakan untuk mengganggu proses produk keamanan sebelum ransomware menjalankan enkripsi. Laporan eksternal mengenai GodDamn juga mengaitkan PoisonX dengan upaya menonaktifkan perlindungan endpoint.

Analisis pihak ketiga menyebut GodDamn memiliki sejumlah kemiripan dengan keluarga ransomware Beast dan Monster serta menggunakan berbagai tool dalam rantai serangannya. Meski demikian, ITSEC Asia memberikan klasifikasi Reported terhadap temuan PoisonX tersebut. Artinya, informasi tersebut berasal dari investigasi eksternal dan tidak direkayasa balik secara independen dalam penelitian ITSEC Asia.

Klasifikasi ini menjadi bagian penting dari metodologi penelitian ITSEC Asia. Setiap temuan dibagi menjadi tiga kategori, yaitu Observed, Reported, dan Assessed. Dengan pendekatan tersebut, satu sampel, satu insiden, atau satu laporan eksternal tidak langsung digeneralisasi sebagai gambaran keseluruhan operasi ransomware.

Banyak Sinyal Peringatan Dini Sebelum Tahap Enkripsi

Temuan GodDamn ransomware menunjukkan bahwa organisasi sebenarnya memiliki sejumlah peluang untuk mendeteksi serangan sebelum dampaknya menjadi lebih besar. Beberapa aktivitas yang patut mendapatkan perhatian antara lain:

• Remote access yang tidak biasa
• Pengumpulan atau penyalahgunaan kredensial
• Network discovery secara mencurigakan
• ARP scanning dan SMB probing
• Lateral movement antar host
• Perubahan Registry atau service secara tidak wajar
• Modifikasi file dalam volume besar
• Upaya mengganggu endpoint protection
• Munculnya ransom note sebagai indikator tahap akhir

Masing-masing aktivitas belum tentu berarti ransomware sedang menyerang. Namun, ketika beberapa indikator tersebut muncul dalam satu rangkaian waktu dan melibatkan banyak host, konteksnya menjadi jauh lebih penting bagi tim keamanan.

Rekomendasi: Perkuat Deteksi Berbasis Perilaku dan Visibilitas

Berdasarkan hasil penelitian, ITSEC Asia merekomendasikan organisasi memperkuat behavioral detection, visibilitas endpoint dan jaringan, serta perlindungan terhadap infrastruktur backup dan recovery. Langkah tersebut penting karena backup juga menjadi bagian strategis dalam menghadapi ransomware. Infrastruktur pemulihan perlu mendapatkan perlindungan agar tetap dapat digunakan ketika sistem utama mengalami gangguan.

ITSEC Asia juga menekankan pentingnya pemantauan terhadap aktivitas remote access, SMB probing, lateral movement, perubahan file dalam jumlah besar, dan upaya menonaktifkan atau mengganggu sistem keamanan. Pendekatan ini sejalan dengan kemampuan layanan keamanan yang ditawarkan ITSEC Asia, termasuk Threat Hunting & Compromise Assessment, Managed Security Services, serta Digital Forensics & Incident Response.

Kesimpulan: Kecepatan Deteksi Menentukan Dampak

Semakin cepat aktivitas aneh terlihat, semakin kecil kerusakan yang ditimbulkan. Organisasi yang hanya bergantung pada deteksi berbasis signature akan selalu ketinggalan langkah. Mengadopsi pendekatan behavioral detection yang mengkorelasikan sinyal dari identitas, endpoint, dan jaringan menjadi keharusan, bukan pilihan, di era di mana ransomware seperti GodDamn beroperasi dengan kesabaran dan ketelitian tinggi sebelum menyerang.