Ryuk adalah jenis ransomware yang menargetkan organisasi besar dan meminta tebusan dalam jumlah besar. Ransomware ini pertama kali muncul pada 2018 dan dikenal karena serangan yang terfokus dan manual, melibatkan pemantauan yang cermat sebelum infeksi. Ryuk sering digunakan oleh kelompok bernama Wizard Spider, yang juga menjalankan TrickBot, trojan malware yang berfungsi sebagai pintu masuk bagi Ryuk.

Bagaimana Ryuk Ransomware Masuk ke Organisasi?

Serangan Ryuk biasanya dimulai dengan infeksi TrickBot atau Emotet. Kedua malware ini menyebar melalui email phishing dengan lampiran berbahaya, seperti dokumen Word. Setelah terinfeksi, TrickBot memungkinkan Wizard Spider menginstal Ryuk ransomware di perangkat tersebut. Ryuk kemudian bergerak secara lateral dalam jaringan untuk menginfeksi sebanyak mungkin perangkat tanpa terdeteksi.

Kelompok Wizard Spider menggunakan berbagai teknik untuk menyebarkan Ryuk, termasuk:

• Menjalankan skrip PowerShell secara manual dari jarak jauh.
• Mengeksploitasi protokol Remote Desktop Protocol (RDP) untuk mengakses sistem tanpa izin.
• Eksploitasi celah keamanan untuk memperluas infeksi dalam jaringan.

Cara Kerja Ryuk Ransomware

Setelah diaktifkan, Ryuk mengenkripsi file dan data di perangkat yang terinfeksi, termasuk drive jaringan dan sumber daya jaringan lainnya. Ransomware ini menggunakan dua algoritma enkripsi:

• AES-256: Untuk mengenkripsi data.
• RSA-2048: Untuk mengenkripsi kunci AES. Algoritma ini menggunakan kunci publik dan kunci privat, di mana Wizard Spider menyimpan kunci privat sehingga korban tidak bisa mendekripsi file tanpa membayar tebusan.

Ryuk tidak hanya menargetkan file biasa, tetapi juga mencoba mengenkripsi file sistem, termasuk file boot. Ini dapat menyebabkan sistem tidak stabil atau bahkan crash jika reboot dilakukan setelah infeksi.

Setelah file terenkripsi, Ryuk akan menampilkan catatan tebusan dalam bentuk file teks (.txt) yang berisi instruksi pembayaran kepada korban.

Pembayaran Tebusan Ryuk

Wizard Spider biasanya meminta pembayaran dalam Bitcoin, dengan jumlah tebusan mencapai ratusan ribu dolar. Beberapa contoh:

• Kota di AS pernah membayar $460.000 setelah terkena serangan Ryuk.
• Pada 2021, diperkirakan kelompok Wizard Spider telah mengumpulkan lebih dari $150 juta dalam pembayaran tebusan.

Serangan Ryuk yang Terkenal

1. Serangan Tribune Publishing (2018):
   Ryuk menyebar melalui software Tribune Publishing, mengganggu proses pencetakan surat kabar di beberapa media besar di AS selama beberapa hari.
2. Serangan Universal Health Services (UHS) (2020):
   Infrastruktur IT rumah sakit UHS terkunci akibat serangan Ryuk, membuat rekam medis pasien dan sistem komunikasi tidak dapat diakses. Proses pemulihan memakan waktu tiga minggu dan menyebabkan kerugian hingga $67 juta.
3. Serangan pada Rumah Sakit di AS (2020):
   Selain UHS, beberapa rumah sakit lain di AS menjadi korban Ryuk, menyebabkan gangguan layanan kesehatan dan penundaan prosedur medis.

Hubungan Ryuk dengan Hermes Ransomware

Ryuk memiliki keterkaitan dengan ransomware lain bernama Hermes. Hermes pertama kali muncul pada 2017 dan banyak digunakan dalam komunitas ransomware. Kode awal Ryuk berbasis Hermes, tetapi Wizard Spider terus mengembangkan Ryuk secara mandiri, menjadikannya varian yang lebih canggih.

Cara Mencegah Infeksi Ryuk Ransomware

Berikut beberapa langkah penting untuk mencegah serangan Ryuk:

1. Latih Pengguna untuk Mengenali Phishing dan Lampiran Berbahaya:
   Sebagian besar infeksi malware terjadi karena kesalahan pengguna yang membuka email atau lampiran mencurigakan. Pelatihan keamanan dapat mengurangi risiko ini.
2. Analisis Sistem untuk Infeksi Sebelumnya:
   Banyak serangan Ryuk terjadi karena jaringan sudah terinfeksi TrickBot atau Emotet sebelumnya. Pemindaian anti-malware yang rutin dapat mendeteksi dan mengisolasi perangkat terinfeksi.
3. Gunakan Model Keamanan Zero Trust:
   Dalam Zero Trust, semua perangkat dan pengguna harus diverifikasi secara berkala. Pendekatan ini membantu membatasi akses perangkat yang terinfeksi dan mencegah ransomware menyebar dalam jaringan.
4. backup Data Secara Rutin:
   Organisasi dapat memulihkan data dari backup jika terjadi serangan ransomware, menghindari kebutuhan untuk membayar tebusan.

Ryuk ransomware adalah salah satu ancaman paling berbahaya bagi organisasi besar karena sifatnya yang terstruktur, canggih, dan manual. Serangan ini memperlihatkan bahwa ancaman ransomware tidak hanya berkembang dalam hal teknologi, tetapi juga dalam strategi dan eksekusi. Kerentanan manusia dan sistem yang tidak terlindungi dengan baik sering kali menjadi titik masuk utama bagi Ryuk.

Pendekatan berlapis dalam pencegahan ransomware, termasuk latihan keamanan untuk pengguna, pembaruan software, backup data, dan penerapan Zero Trust.

Meskipun tidak ada metode yang sepenuhnya dapat mencegah serangan, langkah-langkah ini secara signifikan mengurangi risiko dan dampak serangan. Pakar juga menekankan pentingnya kolaborasi lintas industri dan penegak hukum untuk menghadapi kelompok ransomware seperti Wizard Spider, yang beroperasi dengan tingkat profesionalisme tinggi dan berpotensi mengganggu layanan kritis.