Perusahaan keamanan Kaspersky hari ini mengatakan bahwa mereka menemukan ransomware RansomEXX versi Linux. Ini menandai pertama kalinya strain ransomware Windows utama telah porting ke Linux untuk membantu peretas dalam intrusi yang ditargetkan.
RansomEXX adalah jenis ransomware yang relatif baru yang pertama kali terlihat awal tahun ini pada bulan Juni. Ransomware telah tercatat berguna dalam serangan terhadap Departemen Transportasi Texas, Konica Minolta, kontraktor pemerintah AS Tyler Technologies, sistem transportasi umum Montreal, dan, yang terbaru, menyerang sistem pengadilan Brasil (STJ).
RansomEXX adalah apa yang oleh para peneliti keamanan mereka sebagai “big-game hunter” atau “human-operated ransomware”. Kedua istilah ini tergunakan untuk mendeskripsikan kelompok ransomware yang memburu target besar untuk mencari bayaran besar. Para peretas mengetahui bahwa beberapa perusahaan atau lembaga pemerintah tidak tinggal diam saat mereka memulihkan sistem mereka.
Grup-grup ini membeli akses atau membobol jaringan sendiri, memperluas akses ke sebanyak mungkin sistem, dan kemudian secara manual menyebarkan biner ransomware mereka sebagai muatan akhir untuk melumpuhkan sebanyak mungkin infrastruktur target. Namun selama setahun terakhir, telah terjadi pergeseran paradigma tentang bagaimana kelompok-kelompok ini beroperasi.
Banyak geng ransomware telah menyadari bahwa menyerang workstation terlebih dahulu bukanlah kesepakatan yang menguntungkan. Sebab perusahaan cenderung akan melakukan re-image sistem yang terpengaruh dan tetap berjalan tanpa membayar uang tebusan.
Dalam beberapa bulan terakhir, dalam banyak insiden, beberapa geng ransomware tidak repot-repot mengenkripsi workstation. Hal pertama dan terpenting menarget server penting pada jaringan perusahaan. Karena dengan menghapus sistem ini terlebih dahulu, perusahaan tidak akan dapat mengakses kumpulan data terpusat, bahkan jika seandainya workstation tidak terpengaruh.
Geng RansomEXX yang membuat versi Linux dari ransomware Windows mereka selaras dengan berapa banyak perusahaan yang beroperasi saat ini. Faktanya banyak perusahaan yang menjalankan sistem internal pada Linux, dan tidak selalu menggunakan Windows Server.
Kemiripan dengan RansomEXX Windows
Terlepas dari kenyataan bahwa build PE RansomEXX yang tertemukan sebelumnya menggunakan WinAPI (fungsi khusus untuk OS Windows), organisasi kode Trojan dan metode penggunaan fungsi spesifik dari mbedtls library mengisyaratkan bahwa ELF dan PE dapat diturunkan dari sumber kode yang sama.
Versi Linux sangat masuk akal dari sudut pandang penyerang (karena banyak yang menggunakannya). Mereka selalu mencari untuk memperluas target dan menyentuh infrastruktur inti sebanyak mungkin dalam upaya mereka untuk melumpuhkan perusahaan dan menuntut uang tebusan yang lebih tinggi.
Apa yang kita pahami dari bahwa RansomEXX mungkin akan segera berubah menjadi tren, dengan grup ransomware besar lainnya juga meluncurkan versi Linux mereka pada masa mendatang. Dan, tren ini tampaknya sudah mulai. Menurut firma keamanan cyber Emsisoft, selain RansomEXX, geng ransomware Mespinoza (Pysa) juga baru-baru ini mengembangkan varian Linux dari versi Windows awal mereka.
Tetapi ransomware Linux juga tidak unik. Dalam beberapa tahun terakhir, geng ransomware lain juga telah membuat strain ransomware Linux, seperti grup Snatch. Namun, grup tersebut adalah operasi kecil-kecilan yang mengandalkan spam untuk menginfeksi korban dan jarang berhasil. Serangan ini juga tidak terlibat dalam gangguan yang ditargetkan seperti kelompok generasi ransomware saat ini yang kita lihat sekarang.
Emsisoft mengatakan varian RansomEXX Linux yang mereka deteksi terlihat Juli lalu. Mengonfigurasi sistem untuk mendeteksi varian RansomEXX Linux bukanlah strategi yang solid jika kita melihat cara kru ransomware ‘big-game hunter’ beroperasi. Pada saat penyerang menyebarkan ransomware, mereka sudah menguasai sebagian besar jaringan perusahaan. Strategi terbaik yang dapat mereka ambil untuk melawan jenis gangguan ini adalah mengamankan perimeter jaringan dengan menerapkan patch keamanan ke perangkat gateway dan dengan memastikan perangkat tidak salah dalam konfigurasinya dengan kredensial yang lemah atau default.
