Image credit: Magnific
Modus Afiliasi Ransomware Menyamar Jasa Pemulihan – Ekosistem kejahatan siber berbasis Ransomware-as-a-Service (RaaS) kian kompleks dan diwarnai aksi saling sikut antar-pelaku.
Sebuah fenomena baru terungkap ketika sebuah kelompok yang menamakan dirinya “Ransom Busters” menghubungi para korban peretasan.
Mereka berpura-pura menjadi jasa pemulihan data independen yang menawarkan bantuan untuk menghapus data curian dan memberikan kunci dekripsi.
Namun, hasil investigasi para peneliti keamanan mengindikasikan bahwa Ransom Busters bukanlah firma pemulihan sah, melainkan afiliasi peretas (ransomware affiliate) nakal yang terlibat langsung dalam serangan tersebut.
Modus Operandi Ransom Busters
Dalam pesan yang dikirimkan kepada korbannya, Ransom Busters mengklaim bahwa mereka telah mengeksploitasi celah keamanan pada panel administratif yang digunakan oleh berbagai kelompok RaaS populer.
Mereka mengaku memiliki akses ke server milik kelompok ransomware besar seperti DragonForce, Settra, dan Anubis selama lebih dari tiga tahun.
Ransom Busters berjanji akan menghapus berkas cadangan milik korban yang disimpan di server kelompok RaaS tersebut jika korban membayar imbalan yang diminta.
Indikator Kejanggalan (Red Flags)
Pola Kontak Tak Lazim.
Perusahaan penanganan insiden yang sah umumnya menawarkan bantuan setelah insiden terungkap ke publik, bukan menghubungi korban secara proaktif saat serangan baru saja berlangsung secara diam-diam.
Pelanggaran Hukum.
Tindakan meretas balik server RaaS untuk mengambil data melanggar undang-undang kejahatan komputer. Peneliti menilai tidak mungkin perusahaan sah menjalankan modus operandi semacam ini.
Jawaban Melingkar.
Ketika ditanya mengapa mereka memungut biaya untuk bantuan tersebut, peretas memberikan alasan membingungkan bahwa membantu tanpa bayaran akan mengancam akses mereka ke infrastruktur threat actor.
Jejak Digital yang Identik
Berdasarkan analisis laboratorium terhadap beberapa insiden, para peneliti menemukan jejak teknis yang identik di seluruh korban yang dihubungi oleh Ransom Busters:
Perangkat Lunak yang Sama
Pelaku menggunakan SoftPerfect Network Scanner untuk pengintaian jaringan internal, s5cmd untuk memindahkan data curian ke cloud storage AWS, serta Remotely (alat Remote Monitoring and Management) yang diinstal via skrip PowerShell.
Akun Backdoor Lokal
Pelaku membuat akun backdoor lokal pada sistem korban menggunakan kata sandi tunggal yang sama: Numlock!123.
Identitas Host
Penggunaan nama hostname kontrol milik peretas yang seragam, yaitu DESKTOP-BBETH6K.
Temuan ini memperkuat bukti bahwa Ransom Busters sebenarnya adalah afiliasi tunggal yang bekerja sama dengan beberapa platform RaaS, lalu mencoba “mencuri” uang tebusan dari kelompok induknya sendiri.
Fragmentasi Ekosistem Ransomware
Fenomena munculnya “pihak ketiga nakal” ini sejalan dengan tren fragmentasi di dunia kejahatan siber, berdasarkan data telemetri keamanan terkini.
Jumlah kelompok ransomware aktif terus melonjak dari 71 kelompok menjadi 93 kelompok, dengan total klaim korban mencapai 873 organisasi hanya dalam kurun waktu satu bulan.
Persaingan ketat di ekosistem RaaS memicu meningkatnya ketidakpercayaan antar-anggota. Aksi peretas yang bertindak sebagai “pemburu ambulans” pasca-insiden publik sudah sering terjadi.
Namun, interferensi langsung pada serangan yang belum dipublikasikan menciptakan tingkat risiko yang jauh lebih berbahaya.
Mengapa Hal Ini Memperburuk Risiko Korban?
1. Tidak Ada Jaminan Keamanan Data.
Jika sebuah organisasi membayar kelompok RaaS utama, tidak ada jaminan bahwa afiliasi nakal seperti Ransom Busters yang memegang salinan data tidak akan membocorkan data tersebut di kemudian hari.
2. Pemerasan Ganda dari Pihak Internal.
Korban berisiko diperas dua kali oleh dua entitas berbeda yang berasal dari jaringan serangan yang sama.
Langkah Pencegahan dan Rekomendasi Bagi Organisasi
Para peneliti dan pakar penanganan negosiasi merilis panduan bagi organisasi yang sedang menghadapi insiden peretasan:
1. Abaikan Penawaran Pihak Ketiga Tak Dikenal.
Jangan pernah membayar uang tebusan kepada entitas yang mengklaim sebagai “jasa pemulihan” yang menghubungi secara tiba-tiba via email.
2. Gunakan Saluran Resmi Penanganan Insiden.
Apabila menjadi korban ransomware, hubungi tim Incident Response internal, otoritas penegak hukum, atau lembaga konsultasi keamanan tepercaya yang telah terverifikasi.
3. Tingkatkan Visibilitas Jaringan.
Memantau penggunaan utilitas admin (seperti alat RMM dan pengunduhan berkas s3/s5cmd) untuk mendeteksi pergerakan lateral sebelum enkripsi dan pemerasan terjadi.
