Ransomware as a Service (RaaS): Ancaman Siber yang Perlu Diwaspadai

Ransomware merupakan salah satu ancaman siber yang dapat mengganggu operasional organisasi dengan cara mengenkripsi data atau sistem korban dan kemudian meminta tebusan. Dalam perkembangannya, ransomware tidak lagi selalu dijalankan oleh satu kelompok yang mengembangkan malware sekaligus melakukan seluruh serangan. Muncul model Ransomware as a Service (RaaS) yang membuat aktivitas ransomware menyerupai model bisnis berbasis layanan.

RaaS memungkinkan operator ransomware menyediakan malware, infrastruktur, panel pengelolaan, serta berbagai layanan pendukung kepada pihak lain yang disebut affiliate. Affiliate kemudian bertanggung jawab menjalankan serangan terhadap target. Dalam skema tertentu, hasil pembayaran tebusan dibagi antara operator dan affiliate. Microsoft menjelaskan RaaS sebagai pengaturan antara operator yang mengembangkan dan memelihara perangkat serangan dengan affiliate yang menjalankan payload ransomware.

Model tersebut membuat ancaman ransomware menjadi lebih terorganisasi dan dapat menurunkan hambatan teknis bagi pelaku yang tidak memiliki kemampuan untuk mengembangkan ransomware sendiri. Karena itu, memahami apa itu Ransomware as a Service, bagaimana ekosistemnya bekerja, karakteristik serangannya, serta cara mencegahnya menjadi bagian penting dari strategi cyber security modern.

Apa Itu Ransomware as a Service (RaaS)?

Ransomware as a Service (RaaS) adalah model operasi kejahatan siber ketika pengembang atau operator ransomware menyediakan ransomware dan infrastruktur pendukung kepada affiliate untuk melakukan serangan.

Konsepnya memiliki kemiripan dengan model Software as a Service (SaaS) dari sisi pembagian peran dan penyediaan layanan, tetapi RaaS digunakan untuk aktivitas kriminal. Operator dapat menangani pengembangan malware, infrastruktur, pembaruan perangkat, serta pengelolaan pembayaran, sedangkan affiliate berfokus pada mendapatkan akses ke target dan menjalankan serangan.

Dengan model ini, satu kelompok tidak harus melakukan seluruh tahapan serangan sendiri. Pembagian pekerjaan memungkinkan ekosistem ransomware berkembang menjadi lebih terstruktur.

Namun, RaaS bukan berarti semua ransomware memiliki mekanisme layanan yang sama. Struktur, pembagian keuntungan, persyaratan affiliate, dan tingkat layanan dapat berbeda antara satu operasi dengan operasi lainnya.

Bagaimana RaaS Berbeda dari Ransomware Biasa?

Pada model ransomware konvensional, kelompok kriminal dapat mengembangkan malware, memperoleh akses ke target, melakukan penyebaran, mengenkripsi data, dan melakukan pemerasan secara internal. Dalam model RaaS, beberapa pekerjaan tersebut dipisahkan antara operator dan affiliate.

Perbedaan utamanya bukan pada jenis malware yang digunakan, melainkan pada model operasional dan pembagian peran di balik serangan.

Bagaimana Cara Kerja Ransomware as a Service?

Secara umum, ekosistem RaaS dapat dipahami melalui beberapa peran utama.

1. Operator RaaS Mengembangkan Infrastruktur

Operator bertanggung jawab menyediakan komponen yang diperlukan untuk menjalankan operasi ransomware. Komponen tersebut dapat mencakup malware, infrastruktur komunikasi, sistem pengelolaan korban, serta mekanisme pendukung lainnya.

Penelitian terhadap operasi RaaS seperti Conti menunjukkan bahwa organisasi semacam ini dapat memiliki pembagian pekerjaan yang cukup kompleks, termasuk aspek teknis, manajemen, bisnis, dan customer support internal.

2. Affiliate Bergabung dengan Operasi

Affiliate merupakan pihak yang menggunakan layanan atau infrastruktur yang disediakan operator untuk melakukan serangan. Affiliate dapat memiliki keahlian tertentu dalam mendapatkan akses awal ke jaringan, mengendalikan sistem korban, atau menjalankan tahapan serangan lainnya. Dengan demikian, operator tidak selalu perlu berinteraksi langsung dengan setiap korban.

3. Affiliate Mendapatkan Akses ke Target

Akses awal dapat diperoleh melalui berbagai metode, tergantung kelompok dan target yang diserang. Contohnya antara lain kredensial yang telah dicuri, phishing, kerentanan perangkat lunak, layanan yang terekspos ke internet, atau penyalahgunaan akses jarak jauh.

CISA secara khusus menyoroti kredensial yang dikompromikan, social engineering, kerentanan yang belum ditambal, dan berbagai jalur akses lainnya sebagai faktor yang perlu diperhatikan dalam pencegahan ransomware.

4. Penyerang Memperluas Akses

Setelah memperoleh akses awal, pelaku dapat berusaha mendapatkan kontrol terhadap sistem tambahan dan bergerak secara lateral di dalam jaringan. Tujuannya dapat berupa mendapatkan akses terhadap server, akun administratif, penyimpanan bersama, backup, atau sistem penting lainnya. Tahapan ini penting karena ransomware modern tidak selalu sekadar menginfeksi satu komputer. Serangan dapat diarahkan untuk memberikan dampak terhadap banyak sistem sekaligus.

5. Data Dapat Dicuri Sebelum Enkripsi

Dalam banyak serangan ransomware modern, pelaku tidak hanya mengandalkan enkripsi file. Data korban dapat terlebih dahulu dicuri atau dieksfiltrasi. Jika korban menolak membayar, pelaku kemudian mengancam untuk mempublikasikan data tersebut. CISA menyebut kombinasi antara pencurian data dan enkripsi sebagai double extortion. Dalam beberapa kasus, pemerasan bahkan dapat dilakukan hanya dengan ancaman publikasi data tanpa mengenkripsi sistem korban.

6. Sistem atau Data Dienkripsi

Tahap berikutnya dapat melibatkan enkripsi file dan sistem untuk mengganggu ketersediaan data. MITRE ATT&CK mengategorikan aktivitas tersebut sebagai Data Encrypted for Impact (T1486). Teknik ini digunakan untuk membuat data tidak dapat diakses dan mengganggu operasi sistem atau jaringan.

7. Korban Diminta Membayar Tebusan

Setelah dampak serangan terjadi, korban biasanya diberikan instruksi mengenai tuntutan tebusan. Pelaku dapat menggunakan tekanan waktu, ancaman publikasi data, atau gangguan operasional untuk meningkatkan tekanan terhadap korban. Pembayaran tebusan tidak menjamin sistem atau data akan kembali sepenuhnya. Microsoft juga mengingatkan bahwa korban dapat saja tidak menerima kunci pemulihan meskipun telah membayar.

8. Keuntungan Dibagi

Dalam model RaaS tertentu, operator dan affiliate memperoleh bagian dari hasil pembayaran korban berdasarkan mekanisme yang telah ditentukan oleh operasi tersebut. Model ini membuat ransomware dapat berfungsi sebagai ekosistem kriminal yang melibatkan pihak dengan keahlian berbeda.

Peran Utama dalam Ekosistem RaaS

Ekosistem RaaS tidak selalu terdiri dari dua pihak saja. Struktur aktual dapat berbeda, tetapi secara umum terdapat beberapa peran yang dapat ditemukan.

Tidak semua operasi RaaS memiliki seluruh peran tersebut. Struktur dapat berubah berdasarkan kelompok, periode operasi, target, dan kondisi ekosistem kejahatan siber.

Mengapa RaaS Menjadi Ancaman Serius?

Menurunkan Hambatan untuk Melakukan Serangan

Salah satu dampak utama RaaS adalah pemisahan antara pengembangan malware dan pelaksanaan serangan. Seseorang tidak harus mengembangkan ransomware dari awal untuk dapat menjadi bagian dari operasi serangan. Infrastruktur dan komponen tertentu dapat disediakan oleh operator.

Memperbesar Skala Serangan

Jika satu operator bekerja dengan banyak affiliate, jumlah serangan yang dapat dilakukan berpotensi meningkat. Hal ini menyebabkan organisasi tidak hanya menghadapi satu kelompok penyerang, tetapi dapat menghadapi ekosistem dengan banyak pelaku yang menggunakan infrastruktur atau ransomware yang sama.

Memungkinkan Spesialisasi

RaaS memungkinkan pelaku dengan kemampuan berbeda mengambil peran tertentu. Satu pihak dapat fokus pada pengembangan malware, pihak lain mencari akses awal, sedangkan affiliate dapat berfokus pada operasi terhadap target. Model ini membuat aktivitas kriminal menjadi lebih terstruktur.

Meningkatkan Tekanan terhadap Korban

Ransomware modern dapat menggabungkan beberapa bentuk tekanan sekaligus, termasuk penghentian akses terhadap data, pencurian informasi, dan ancaman publikasi. CISA mencatat bahwa double extortion telah menjadi salah satu perkembangan penting dalam pola serangan ransomware.

RaaS dan Double Extortion

Double extortion merupakan metode pemerasan ketika pelaku tidak hanya mengenkripsi data korban, tetapi juga mencuri data dan mengancam untuk mempublikasikannya.

MITRE ATT&CK juga mendokumentasikan hubungan antara pemerasan ransomware, enkripsi data, eksfiltrasi, dan ancaman publikasi informasi korban.

Contoh Ransomware yang Pernah Dikaitkan dengan Model RaaS

Beberapa operasi ransomware yang sering dibahas dalam konteks RaaS antara lain LockBit, Conti, BlackMatter, dan sejumlah operasi ransomware lainnya. Namun, status suatu kelompok atau model operasinya dapat berubah dari waktu ke waktu sehingga penyebutan suatu ransomware sebagai RaaS sebaiknya mengikuti sumber intelijen dan periode waktu yang dimaksud.

Sebagai contoh, Microsoft menjelaskan RaaS sebagai model yang digunakan operator untuk menyediakan kemampuan ransomware kepada affiliate. Sementara itu, MITRE ATT&CK mendokumentasikan berbagai ransomware dan kampanye yang menggunakan teknik seperti Data Encrypted for Impact, termasuk Conti dan LockBit.

Karena kelompok ransomware dapat berhenti beroperasi, berganti nama, melakukan rebranding, atau muncul kembali dengan struktur berbeda, daftar ransomware RaaS sebaiknya tidak dianggap sebagai daftar permanen.

Apa Dampak RaaS bagi Perusahaan?

Serangan RaaS dapat menimbulkan dampak yang jauh lebih luas daripada sekadar file yang terenkripsi.

• Gangguan Operasional
  Sistem penting yang tidak dapat diakses dapat menghentikan proses bisnis. Contohnya adalah sistem produksi, layanan pelanggan, aplikasi internal, database, atau sistem administrasi.

• Kehilangan Akses Data
  Data yang terenkripsi dapat menyebabkan karyawan dan sistem tidak dapat menjalankan fungsi normal. Jika backup juga terkena dampak, proses pemulihan dapat menjadi jauh lebih sulit.

• Kebocoran Data
  Jika pelaku melakukan eksfiltrasi sebelum enkripsi, organisasi dapat menghadapi risiko kebocoran informasi sensitif.

• Kerugian Finansial
  Kerugian tidak hanya berkaitan dengan tuntutan tebusan, tetapi juga dapat mencakup downtime, investigasi forensik, pemulihan sistem, konsultasi keamanan, pemberitahuan kepada pihak terdampak, dan kehilangan produktivitas.

• Kerusakan Reputasi
  Kebocoran data atau gangguan layanan dapat memengaruhi kepercayaan pelanggan dan mitra bisnis.

• Risiko Kepatuhan
  Jika data pribadi atau informasi yang dilindungi regulasi terdampak, organisasi juga dapat menghadapi kewajiban hukum atau kepatuhan yang relevan dengan wilayah dan jenis datanya.

Bagaimana Cara Mencegah Serangan RaaS?

Tidak ada satu solusi yang dapat menjamin organisasi terbebas dari ransomware. Pendekatan yang lebih tepat adalah membangun pertahanan berlapis dan kemampuan pemulihan.

1. Gunakan Multi-Factor Authentication

MFA menambahkan lapisan autentikasi selain password. CISA merekomendasikan penggunaan MFA, khususnya pada layanan penting seperti webmail, VPN, dan akun yang memiliki akses ke sistem kritis. MFA sebaiknya diterapkan secara luas, terutama untuk akun administrator dan akses jarak jauh.

2. Lakukan Patch dan Update Secara Berkala

Kerentanan pada perangkat lunak dapat menjadi salah satu jalur masuk yang dimanfaatkan penyerang. Organisasi perlu memiliki proses manajemen patch yang jelas dan memprioritaskan kerentanan yang telah diketahui dieksploitasi. CISA menekankan pentingnya memperbaiki kerentanan yang diketahui telah dieksploitasi serta menjaga sistem dan aplikasi tetap diperbarui.

3. Terapkan Network Segmentation

Jaringan yang terlalu datar dapat memberikan ruang lebih besar bagi penyerang untuk bergerak dari satu sistem ke sistem lainnya. Segmentasi jaringan membantu membatasi lateral movement dan mengurangi kemungkinan satu kompromi menyebar ke seluruh lingkungan. CISA merekomendasikan segmentasi untuk membantu membatasi dampak intrusi dan pergerakan lateral.

4. Siapkan Backup yang Terisolasi

Backup merupakan komponen penting dalam menghadapi ransomware. Namun, memiliki backup saja tidak cukup. Backup perlu dilindungi agar tidak mudah diubah atau dihapus oleh penyerang. CISA merekomendasikan organisasi mempertahankan backup offline serta memastikan data backup terlindungi dan dapat digunakan untuk proses pemulihan. Organisasi juga harus menguji proses restore secara berkala, karena backup yang tidak pernah diuji belum tentu dapat digunakan ketika terjadi insiden.

5. Gunakan Endpoint Detection and Response

EDR dapat membantu mendeteksi aktivitas mencurigakan pada endpoint dan memberikan visibilitas terhadap perilaku yang mungkin berkaitan dengan serangan ransomware. MITRE ATT&CK mencantumkan pola deteksi yang dapat membantu mengidentifikasi aktivitas enkripsi massal, seperti peningkatan aktivitas penulisan file yang tidak biasa dan pembuatan ransom note.

6. Batasi Hak Akses

Terapkan prinsip least privilege, yaitu pengguna hanya memperoleh hak akses yang benar-benar dibutuhkan. Dengan membatasi privilege, organisasi dapat mengurangi dampak jika sebuah akun berhasil dikompromikan.

7. Amankan Remote Access

VPN, RDP, RMM, dan berbagai mekanisme remote access harus dikelola dengan hati-hati. Akses yang tidak diperlukan sebaiknya dinonaktifkan. Akses yang diperlukan harus dilindungi dengan autentikasi kuat, pembatasan akses, logging, dan monitoring. CISA juga merekomendasikan audit terhadap penggunaan remote access dan RMM serta pemantauan aktivitas yang tidak normal.

8. Tingkatkan Security Awareness

Manusia masih menjadi salah satu bagian penting dari pertahanan organisasi. Pelatihan keamanan perlu membantu karyawan mengenali phishing, social engineering, permintaan akses yang mencurigakan, dan pola komunikasi yang tidak biasa. Tujuannya bukan sekadar mengajarkan karyawan untuk tidak mengklik tautan mencurigakan, tetapi membangun kebiasaan untuk memverifikasi aktivitas yang berpotensi berisiko.

9. Buat Incident Response Plan

Organisasi sebaiknya memiliki prosedur tertulis mengenai apa yang harus dilakukan ketika ransomware terdeteksi. Rencana tersebut dapat mencakup:

• Identifikasi dan isolasi sistem terdampak.
• Eskalasi insiden kepada tim terkait.
• Pengumpulan dan pengamanan bukti.
• Penilaian cakupan insiden.
• Perlindungan sistem dan backup yang belum terdampak.
• Pemulihan dari sumber yang dapat dipercaya.
• Komunikasi internal dan eksternal.
• Evaluasi pascainsiden.

CISA menyediakan panduan khusus yang mencakup praktik pencegahan, mitigasi, respons, dan pemulihan ransomware.

Perbandingan Ransomware, RaaS, dan Malware Biasa

Istilah ransomware dan RaaS sering dianggap sama, padahal keduanya merujuk pada hal yang berbeda.

Dengan demikian, RaaS bukan jenis ransomware baru, melainkan model yang digunakan untuk mengorganisasi dan menjalankan operasi ransomware.

Perbandingan RaaS dengan SaaS

Karena menggunakan istilah “as a Service”, RaaS sering dibandingkan dengan SaaS. Namun, keduanya memiliki tujuan yang sangat berbeda.

Kemiripan istilah tersebut hanya terdapat pada konsep penyediaan layanan dan pembagian peran. Secara tujuan dan legalitas, SaaS dan RaaS merupakan dua hal yang sangat berbeda.

Tanda-Tanda yang Perlu Diwaspadai

Organisasi perlu memperhatikan indikasi yang dapat menunjukkan aktivitas ransomware atau tahap awal serangan. Beberapa tanda yang patut diperhatikan antara lain:

• Aktivitas login yang tidak biasa.
• Penggunaan akun administratif secara tidak normal.
• Perubahan hak akses tanpa alasan yang jelas.
• Aktivitas remote access yang tidak dikenal.
• Peningkatan aktivitas jaringan secara tidak wajar.
• Penghapusan atau perubahan backup.
• Aktivitas pembacaan dan penulisan file dalam jumlah besar.
• Munculnya file dengan ekstensi yang tidak biasa.
• Munculnya ransom note.
• Aktivitas eksfiltrasi data yang tidak normal.

MITRE ATT&CK mencatat bahwa enkripsi massal dapat menghasilkan pola aktivitas file yang tidak biasa dan dapat disertai perubahan registry, penghapusan shadow copies, atau pembuatan ransom note.

Indikator tersebut tidak selalu berarti ransomware sedang berlangsung karena aktivitas serupa dapat muncul dari proses administratif atau aplikasi legitimate. Oleh karena itu, indikator harus dianalisis berdasarkan konteks dan dikorelasikan dengan log keamanan lainnya.

Apa yang Harus Dilakukan Jika Terkena Ransomware?

Ketika ransomware terdeteksi, organisasi perlu mengutamakan containment, investigation, dan recovery. Langkah awal yang dapat dipertimbangkan adalah mengisolasi sistem yang terdampak untuk mengurangi kemungkinan penyebaran lebih lanjut. Selanjutnya, organisasi perlu melakukan investigasi untuk memahami cakupan kompromi, termasuk kemungkinan adanya pencurian data.

Backup yang belum terdampak harus dilindungi dari perubahan atau penghapusan. Proses pemulihan sebaiknya dilakukan berdasarkan prosedur incident response dan recovery yang telah disiapkan sebelumnya. Organisasi juga perlu mempertimbangkan kewajiban pelaporan dan pemberitahuan yang berlaku berdasarkan hukum, kontrak, industri, dan lokasi operasional.

Keputusan mengenai pembayaran tebusan merupakan persoalan kompleks yang dapat melibatkan aspek hukum, keuangan, keamanan, dan kebijakan organisasi. Pembayaran juga tidak menjamin data akan dikembalikan atau bahwa pelaku tidak akan menggunakan data yang telah dicuri.

Mengapa Backup Saja Tidak Cukup?

Backup memang sangat penting, tetapi tidak seharusnya menjadi satu-satunya pertahanan. Penyerang dapat mencoba mengakses atau menghapus backup sebelum menjalankan ransomware. Jika backup terhubung secara langsung dan memiliki hak akses yang sama dengan sistem produksi, backup tersebut juga dapat menjadi target.

Karena itu, strategi backup yang baik perlu memperhatikan:

• Redundansi
  Memiliki lebih dari satu salinan.
• Isolasi
  Sebagian backup tidak terus-menerus terhubung dengan lingkungan produksi.
• Proteksi terhadap perubahan
  Gunakan mekanisme seperti immutability jika sesuai dengan kebutuhan.
• Enkripsi
  Melindungi data backup dari akses tidak sah.
• Pengujian restore
  Memastikan data benar-benar dapat dipulihkan.
• Dokumentasi
  Memiliki prosedur recovery yang jelas.

CISA secara khusus merekomendasikan backup yang dilindungi, termasuk backup offline dan backup yang immutable, sebagai bagian dari strategi menghadapi ransomware.

RaaS dalam Perspektif Cyber Security

Dari sudut pandang cyber security, RaaS menunjukkan bahwa keamanan tidak cukup hanya berfokus pada malware. Organisasi perlu melindungi seluruh rantai serangan, mulai dari identitas, endpoint, jaringan, aplikasi, cloud, data, hingga backup. Pendekatan keamanan berlapis dapat mencakup:

Pendekatan ini penting karena ransomware dapat memanfaatkan beberapa teknik sekaligus. ENISA juga mencatat bahwa ransomware terus berkembang dan menjadi semakin efektif dalam menghasilkan dampak terhadap korban.

Kesimpulan

Ransomware as a Service (RaaS) merupakan model kejahatan siber yang memungkinkan operator menyediakan ransomware dan infrastruktur kepada affiliate untuk menjalankan serangan. Ancaman ini dapat menyebabkan enkripsi data, pencurian informasi, lateral movement, gangguan operasional, hingga double extortion.

Untuk mengurangi risiko, organisasi perlu menerapkan keamanan berlapis melalui MFA, patch management, network segmentation, endpoint protection, least privilege, monitoring, security awareness, serta backup yang aman dan dapat dipulihkan.

Memahami RaaS penting bagi bisnis maupun pengelola sistem agar mampu mencegah, mendeteksi, dan merespons serangan siber dengan lebih baik. Untuk mendapatkan informasi seputar cyber security, hosting, server, website, dan teknologi digital lainnya, Anda dapat membaca artikel di Blog Hosteko. Sementara itu, Hosteko Hosting Indonesia menyediakan layanan domain dan hosting untuk mendukung kebutuhan infrastruktur website dan bisnis online.