Crypto-ransomware adalah jenis ransomware yang paling umum dan berbahaya. Cara kerjanya melibatkan beberapa tahap yang terstruktur dengan tujuan utama untuk mengenkripsi file penting pengguna sehingga tidak dapat diakses tanpa kunci dekripsi yang dimiliki penyerang. Berikut adalah tahapan utama cara kerja crypto-ransomware:

1. Penyebaran (Delivery)

Penyebaran ransomware biasanya dimulai dengan salah satu dari beberapa metode umum:

• Email Phishing: Penyerang mengirimkan email yang terlihat sah dengan lampiran atau tautan yang berisi malware. Ketika pengguna mengklik tautan atau membuka lampiran, ransomware diunduh dan diinstal di perangkat mereka.
• Unduhan Berbahaya: Pengguna mengunjungi situs web yang terinfeksi atau mengunduh perangkat lunak dari sumber yang tidak tepercaya, yang kemudian menginstal ransomware tanpa sepengetahuan mereka.
• Exploit Kerentanan: Penyerang memanfaatkan kerentanan dalam perangkat lunak yang belum diperbaiki untuk menginstal ransomware. Misalnya, kerentanan dalam protokol SMBV1 yang digunakan dalam serangan WannaCry.
• RDP Exposure: Penyerang menggunakan Remote Desktop Protocol (RDP) yang terbuka ke internet untuk mendapatkan akses awal ke jaringan dan kemudian menginstal ransomware.

2. Eksekusi (Execution)

Setelah ransomware berhasil diunduh dan diinstal di perangkat, ia akan mulai menjalankan kode berbahaya. Langkah-langkah umum dalam tahap eksekusi meliputi:

• Pengecekan Lingkungan: Ransomware akan melakukan pengecekan awal untuk menentukan apakah perangkat cocok untuk serangan. Ini termasuk memeriksa sistem operasi, keberadaan perangkat lunak keamanan, dan koneksi internet.
• Menghindari Deteksi: Ransomware sering menggunakan teknik seperti obfuscation atau polymorphism untuk menghindari deteksi oleh perangkat lunak antivirus dan EDR (Endpoint Detection and Response).

3. Rekonesi (Reconnaissance)

Setelah berhasil dieksekusi, ransomware akan melakukan rekonesi untuk mengumpulkan informasi tentang lingkungan jaringan:

• IP Scanning: Menggunakan alat seperti IP scanner untuk menemukan perangkat lain dalam jaringan, termasuk server dan workstation.
• Identifikasi Data Penting: Mengidentifikasi lokasi file penting, seperti dokumen, foto, dan database. Penyerang juga mencari informasi sensitif seperti detail rekening bank dan kebijakan asuransi siber.

4. Enkripsi (Encryption)

Setelah mengidentifikasi target, ransomware akan mulai mengenkripsi file penting menggunakan algoritma enkripsi yang kuat, seperti AES atau RSA. Proses enkripsi biasanya dilakukan secara berikut:

• Pemilihan File: Ransomware akan memilih file yang penting berdasarkan ekstensi file (misalnya, .docx, .xlsx, .jpg).
• Penggunaan Kunci Enkripsi: Setiap file akan dienkripsi menggunakan kunci enkripsi yang unik. Kunci enkripsi ini kemudian dienkripsi lagi dengan kunci publik yang dimiliki penyerang.
• Penghapusan File Asli: Setelah file dienkripsi, file asli biasanya dihapus untuk mencegah pengguna mengaksesnya lagi.

5. Penagihan (Ransom Demand)

Setelah proses enkripsi selesai, ransomware akan menampilkan pesan tebusan kepada pengguna. Pesan ini biasanya berisi:

• Instruksi Pembayaran: Penyerang akan memberikan instruksi tentang bagaimana membayar tebusan, biasanya dalam mata uang kripto seperti Bitcoin untuk menjaga anonimitas.
• Batas Waktu: Penyerang sering menetapkan batas waktu untuk pembayaran tebusan, dengan ancaman bahwa kunci dekripsi akan dihapus jika batas waktu terlewati.
• Informasi Kontak: Penyerang akan menyediakan alamat email atau situs web untuk menghubungi mereka jika pengguna memiliki pertanyaan.

6. Pemulihan (Recovery)

Jika pengguna memutuskan untuk membayar tebusan, penyerang biasanya akan memberikan kunci dekripsi untuk membuka file yang terenkripsi. Namun, tidak ada jaminan bahwa kunci dekripsi akan berfungsi atau bahwa penyerang akan memenuhi janji mereka. Selain itu, membayar tebusan dapat mendorong lebih banyak serangan ransomware di masa depan.

Contoh Crypto-ransomware: WannaCry

WannaCry adalah salah satu serangan crypto-ransomware terbesar yang pernah terjadi. Serangan ini menggunakan kerentanan dalam protokol SMBV1 untuk menyebar di jaringan. Setelah menginfeksi perangkat, WannaCry akan mengenkripsi file penting dan menampilkan pesan tebusan yang meminta pembayaran dalam Bitcoin. Serangan ini menunjukkan betapa cepat dan merusaknya crypto-ransomware dapat beraksi.

Pencegahan

Untuk melindungi diri dari serangan crypto-ransomware, langkah-langkah pencegahan yang efektif meliputi:

• Backup Rutin: Lakukan backup data penting secara rutin dan simpan cadangan di lokasi yang aman dan terpisah dari jaringan utama.
• Patch Management: Pastikan semua perangkat lunak dan sistem operasi diperbarui dengan patch keamanan terbaru.
• Pelatihan Kesadaran Keamanan: Berikan pelatihan kepada karyawan tentang cara mengenali email phishing dan ancaman siber lainnya.
• Penggunaan Antivirus/EDR: Gunakan perangkat lunak antivirus dan EDR yang up-to-date untuk mendeteksi dan menghalangi ancaman.
• Segmentasi Jaringan: Bagi jaringan menjadi beberapa segmen untuk membatasi penyebaran ransomware jika terjadi serangan.
• Least Privilege: Berikan hak akses terbatas kepada pengguna hanya sesuai dengan kebutuhan mereka untuk menjalankan tugas mereka.

Dengan memahami cara kerja crypto-ransomware dan mengambil langkah-langkah pencegahan yang tepat, kita dapat melindungi diri dan organisasi kita dari ancaman ini. Selalu tetap waspada dan siap dengan rencana keamanan yang kuat.