Ringkasan Eksekutif
Laporan ini membahas dua ancaman ransomware yang saat ini aktif dan menyerang berbagai sektor industri, yaitu Interlock dan Black Basta. Kedua ransomware ini menunjukkan bagaimana pelaku kejahatan siber terus mengembangkan teknik double extortion, serta semakin lincah dalam menjalankan operasinya.
Interlock adalah ransomware dengan model Ransomware-as-a-Service (RaaS), di mana pembuat ransomware menyediakan “layanan” kepada afiliasi. Interlock dikenal karena menyebarkan malware melalui iklan berbahaya (malvertising) dan installer software palsu. Mereka sering menyalahgunakan tool legal seperti AnyDesk untuk mendapatkan akses awal dan bertahan di sistem korban. Setelah masuk, data sensitif dicuri terlebih dahulu, lalu sistem dienkripsi, dan korban diancam akan dipermalukan lewat situs kebocoran data jika tidak membayar tebusan.
Black Basta juga merupakan kelompok RaaS yang muncul sejak awal 2022 dan cepat menjadi pemain besar. Mereka biasanya masuk melalui email phishing atau kredensial yang dicuri, lalu menggunakan alat seperti Cobalt Strike dan Mimikatz untuk bergerak di dalam jaringan. Target utama Black Basta adalah perusahaan besar di sektor kesehatan, keuangan, dan manufaktur. Baru-baru ini, percakapan internal Black Basta yang bocor di Telegram mengindikasikan adanya konflik internal, yang berpotensi memunculkan kelompok pecahan atau rebranding.
Model RaaS membuat serangan ransomware semakin marak karena menurunkan hambatan masuk bagi penjahat siber. Penyerang dengan kemampuan rendah pun bisa melakukan serangan canggih. Dampaknya, ancaman terhadap bisnis, pemerintah, dan infrastruktur kritis terus meningkat secara global.
Analisis: Black Basta
Sejak 2022, Black Basta dikenal sebagai ransomware yang agresif dan terorganisir. Mereka biasanya memulai serangan dengan phishing atau memanfaatkan akun yang sudah bocor. Setelah berhasil masuk ke jaringan, mereka menggunakan berbagai tool untuk menjelajahi sistem dan meningkatkan hak akses.
Beberapa teknik utama Black Basta:
-
Menggunakan Cobalt Strike dan Brute Ratel untuk pasca-eksploitasi
-
Mengambil kredensial lewat Mimikatz, sering kali disamarkan agar lolos dari antivirus
-
Bergerak lateral menggunakan PsExec, WMI, dan RDP
File ransomware Black Basta sering dikemas dengan teknik khusus agar sulit dianalisis. Proses enkripsi menggunakan kombinasi ChaCha20 dan RSA-4096, lalu:
-
Ekstensi file diubah
-
Catatan tebusan ditinggalkan
-
Shadow copy dihapus agar pemulihan sulit
-
Bahkan bisa berjalan dalam safe mode untuk menghindari deteksi
Meski ada konflik internal, ancaman Black Basta belum berakhir. Kelompok seperti ini sering berganti nama atau membentuk cabang baru dengan teknik yang sama.
Analisis: Interlock
Interlock adalah ransomware yang relatif baru namun cepat menarik perhatian. Berbeda dengan Black Basta, Interlock lebih sering menggunakan:
-
Iklan berbahaya (malvertising)
-
Installer software palsu
Mereka menyalahgunakan tool legal seperti AnyDesk, sehingga aktivitasnya terlihat “normal”. Hal ini membuat serangan lebih sulit terdeteksi sejak awal.
Setelah masuk, Interlock:
-
Mencuri data sensitif
-
Mengenkripsi sistem
-
Mengancam korban melalui situs kebocoran data di jaringan Tor
Interlock tersedia untuk Windows, Linux, dan FreeBSD, menunjukkan fleksibilitas tinggi. Mereka menggunakan banyak teknik living-off-the-land, yaitu memanfaatkan tool bawaan Windows untuk menghindari deteksi.
Metode bertahan (persistence) yang digunakan:
-
Scheduled Task
-
Instalasi service
-
Modifikasi registry
-
Deployment Cobalt Strike
Pencegahan Ransomware
Mencegah ransomware seperti Interlock dan Black Basta membutuhkan pendekatan berlapis:
-
Kontrol Aplikasi
Blokir software tidak dikenal dan installer dari sumber tidak tepercaya. -
Keamanan Email
Gunakan filter spam yang kuat, scanning attachment, dan proteksi domain untuk mencegah phishing. -
Pelatihan Pengguna
Edukasi karyawan agar waspada terhadap email mencurigakan, software palsu, dan teknik rekayasa sosial. -
Multi-Factor Authentication (MFA)
MFA, terutama yang tahan phishing seperti hardware token, sangat efektif menghambat ransomware. -
Zero Trust
Jangan percaya siapa pun secara default, bahkan di dalam jaringan. Batasi hak admin dan terapkan prinsip least privilege.
Deteksi dengan SIEM
Tidak ada sistem pencegahan yang sempurna. Oleh karena itu, SIEM (Security Information and Event Management) sangat penting untuk mendeteksi tanda awal ransomware.
SIEM dapat:
-
Mengorelasikan log dari endpoint, server, dan jaringan
-
Mendeteksi perilaku aneh seperti penghapusan shadow copy atau pembuatan ransom note
-
Memberi peringatan dini ke tim SOC
Mengaktifkan command line auditing (misalnya dengan Sysmon) sangat meningkatkan kemampuan deteksi, karena banyak ransomware menjalankan perintah khusus yang bisa terpantau lewat log ini.
Kesimpulan
Ransomware modern semakin canggih dan terorganisir, terutama dengan model RaaS. Pencegahan membutuhkan kombinasi teknologi, proses, dan edukasi pengguna. Namun karena tidak ada perlindungan yang sempurna, SIEM dan logging yang kuat menjadi kunci untuk mendeteksi dan merespons serangan sejak dini.
Dengan visibilitas yang baik, organisasi dapat menghentikan ransomware sebelum dampaknya meluas dan melindungi aset bisnis yang paling kritis.
Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan exabeam indonesia, merupakan bagian dari PT. iLogo Indonesia, yang merupakan mitra terpercaya dalam solusi Infrastruktur IT dan Cybersecurity terbaik di Indonesia.
Hubungi kami sekarang atau kunjungi exabeam.ilogoindonesia.com untuk informasi lebih lanjut!