Ketika Star Trek Berkelana di Dunia Digital

Film fenomenal besutan Gene Roddenberry merupakan salah satu franchise hiburan paling laris di dunia dan tak lekang oleh masa, kini berpetualang di internet bukan sebagai hiburan melainkan sebuah malware yang bernama ransomware Kirk.

James T Kirk adalah nama kapten pesawat ruang angkasa USS Enterprise dalam film Star Trek. Ini yang kemudian menjadi korelasi nama ransomware yang baru saja ditemukan. Kirk ditulis menggunakan bahasa pemrograman Python dan menjadi ransomware pertama yang memanfaatkan Monero sebagai salah satu metode pembayaran uang tebusan.

Ransomware Kirk menggunakan Monero untuk pembayaran uang tebusan sejak Monero dirilis, layanan ini menjadi rujukan sebagai sistem pembayaran yang lebih aman dan anonim daripada Bitcoin. Hal ini menyebabkan situs kriminal bawah tanah, seperti AlphaBay menerimanya sebagai alat pembayaran bagi penjahat.

Mungkin ini pertama kalinya Monero diperkenalkan sebagai layanan pembayaran uang tebusan ransomware. Masalahnya, dengan sistem pembayaran baru menjadi masalah baru bagi korban, ketika Bitcoin mulai diterima, muncul layanan cryptocurrency baru dalam sistem pembayaran tentu akan membingungkan korban.

Proses Enkripsi Kirk

Sebenarnya masih belum jelas bagaimana ransomware Kirk disebarkan, tetapi diketahui jika Kirk menyamar sebagai network stress tool yang disebut Low Orbital Ion Cannon. Saat ini bernama loic_win32.exe. Ketika ransomware Kirk dijalankan ia akan menghasilkan password AES yang digunakan untuk mengenkripsi file korban. Kunci AES ini kemudian dienkripsi oleh kunci enkripsi publik RSA-4096 embedd dan menyimpannya dalam file yang disebut pwd dalam direktori yang sama seperti executable ransomware.

Jika korban ingin membayar uang tebusan, jangan sampai menghapus file pwd karena di dalamnya berisi enkripsi kunci dekripsi file korban. Tapi, hanya pengembang ransomware yang dapat mendekripsi file ini dan jika korban ingin membayar tebusan, file ini menjadi syarat wajib yang harus dikirim.

Ransomware Kirk kemudian akan menampilkan dialog box yang menunjukkan slogan LOIC network stress tool. Bunyi slogan itu adalah “Low Orbital Ion Cannon | When harpoons, air strikes and nukes fail | v1.0.1.0”.

Langkah selanjutnya, ransomware Kirk mulai memindai drive C: mencari file yang memiliki ekstensi file tertentu. Total ekstensi file yang menjadi target mencapai 625 jenis file. Begitu mereka menemukan ekstensi yang dicari, Kirk akan mengenkripsi menggunakan kunci enkripsi AES yang dibuat sebelumnya dan kemudian menambahkan ekstensi .kirk untuk nama file terenkripsi.

Selesai mengenkripsi file target, ransomware memasukkan ransom note yang disebut RANSOM_NOTE.txt di folder yang sama di mana executable berada. Kemudian menampilkan ransom note pada layar desktop korban.

Ransom note memberitahu korban bahwa mereka harus membeli 1100 mata uang Monero dan mengirimkannya ke alamat tertutup Monero. Setelah pembayaran dilakukan, korban harus email file pwd dan ID transaksi pembayaran ke alamat email kirk.help@scryptmail.com atau kirk.payments@scryptmail.com untuk menerima decryptor.

Sumber berita:
https://www.bleepingcomputer.com