Mengenal LockBit Ransomware dan Cara Mitigasi

Belakangan ini LockBit ransomware menjadi populer di Indonesia. Hal ini tidak lain karena klaim kelompok peretas LockBit yang berhasil meretas sistem keamanan, mencuri dan mengenkripsi data salah satu bank syariah di Indonesia. Lalu, apakah LockBit ransomware itu? Bagaimana cara mitigasinya? Tim redaksi CSIRT Kota Tangerang akan mengulasnya dalam artikel ini.

Apa itu Ransomware?

Ransomware adalah salah satu jenis malware atau program berbahaya yang diciptakan oleh kelompok peretas tertentu dan dirancang untuk mengenkripsi data pada komputer korbannya. Setelah data tersebut terenkripsi, peretas akan meminta tebusan atau pembayaran tertentu dari korban agar kunci dekripsi disediakan dan data dapat dikembalikan ke kondisi semua. Metode pembayaran yang diminta biasanya menggunakan bitcoin atau mata uang kripto agar sulit dilacak. Sebagian kelompok peretas yang menyasar perusahaan atau lembaga tertentu biasanya mencuri data korbannya terlebih dahulu, kemudian mengenkripsi data dan memberikan tenggat waktu untuk korban melakukan pembayaran. Apabila pembayaran tidak dilakukan hingga melewati tenggat waktu tersebut, peretas akan menyebarkan atau memperjual-belikan data korban di darkweb.

Modus operandi ransomware umumnya melibatkan infiltrasi ke sistem komputer yang rentan atau lemah dalam keamanannya. Ransomware dapat masuk melalui email phishing, situs web yang terinfeksi, atau eksploitasi celah keamanan yang belum diperbaiki. Begitu ransomware berhasil masuk, ia akan mulai mengenkripsi file yang penting dan berharga, seperti dokumen, foto, video, atau data bisnis. Ransomware menjadi ancaman yang sangat berbahaya bagi perusahaan atau lembaga karena dapat menurunkan reputasi dan mengakibatkan kerugian finansial yang besar.

LockBit Ransomware

Di dunia keamanan siber, ransomware telah muncul sebagai ancaman yang signifikan bagi individu, bisnis, dan organisasi. Salah satu program jahat yang telah mendapatkan ketenaran adalah LockBit ransomware. LockBit adalah jenis malware yang sangat canggih dan berbahaya yang mengenkripsi file korban, memegangnya sebagai sandera sampai tebusan dibayar.

LockBit ransomware pertama kali ditemukan pada tahun 2019 ketika dijuluki sebagai abcd virus. Julukan itu mengacu pada nama ekstensi file yang digunakan saat mengenkripsi file korban. Target-target yang terkenal termasuk organisasi-organisasi di Amerika Serikat, China, India, Indonesia, dan Ukraina. Berbagai negara di Eropa (Prancis, Inggris, dan Jerman) juga pernah mengalami serangan. Ransomware ini dirancang dengan sangat canggih dan mampu mengeksploitasi kerentanan dalam sistem keamanan untuk masuk dan menginfeksi komputer atau jaringan. Setelah berhasil masuk, LockBit akan mulai mengenkripsi file yang ada di dalamnya menggunakan algoritma enkripsi yang kuat. Dalam beberapa kasus, ransomware ini juga mampu mengenkripsi file yang tersimpan di perangkat penyimpanan jaringan (NAS) yang terhubung dengan komputer target.

Top 10 Ransomware Families dalam kuartil 1 tahun 2023 yang dirilis cyberint.com

Setelah berhasil mengenkripsi file korban, LockBit ransomware akan meninggalkan pesan tebusan yang berisi instruksi kepada korban tentang cara membayar tebusan dan mendapatkan kunci dekripsi untuk mengembalikan file-file mereka. Biasanya, pesan tersebut berisi ancaman yang mengerikan, seperti ancaman untuk menghapus file yang terenkripsi secara permanen jika tebusan tidak dibayar dalam jangka waktu tertentu.

LockBit mengkombinasikan keahlian IT dengan Bisnis dan beroperasi sebagai model Ransomware-as-a-service (RaaS). Mereka bahkan memposting iklan untuk program afiliasi di forum kriminal dunia maya dengan sistem bagi hasil untuk afiliasi sebesar 60 - 75 persen. Perkembangan Lockbit Ransomware cukup pesat. Saat ini, versi terbaru dari Lockbit yaitu 3.0 menggunakan metode double exortion.

Menurut dokumen yang diterbitkan oleh Australian Cyber Security Center (ACSC) Lockbit 3.0 adalah versi terbaru dari ransomware Lockbit yang pertama kali ditemukan pada Maret 2022. Digunakan oleh peretas untuk melakukan serangan ransomware terhadap berbagai sektor dan organisasi di seluruh dunia. Setelah mendapatkan akses ke sistem korban, peretas menggunakan ransomware ini untuk tujuan yang sama seperti varian lainnya seperti mengenkripsi data mereka, dan memeras uang tebusan untuk mengembalikan akses ke file sensitif. LockBit 3.0 ditawarkan sebagai Ransomware-as-a-Service (RaaS), memungkinkan afiliasi untuk menggunakannya sesuai keinginan, memberikan persentase dari keuntungan yang diperoleh secara ilegal keuntungan dibagi dengan operator LockBit sebagai komisi.

Bagaimana lockbit ransomware bekerja

Mitigasi Ransomware

1. Mengaktifkan dan menerapkan autentikasi multifaktor untuk mencegah peretas mengakses akun yang valid dengan kredensial curian.
2. Selalu perbarui semua sistem operasi, perangkat lunak, dan firmware. Menambal sistem perangkat lunak dan perangkat keras yang rentan dalam waktu 24 hingga 48 jam sejak kerentanan diungkapkan.
3. Memonitor akses pengguna ke sistem dan menerapkan kebijakan kata sandi yang kuat.
4. Melakukan segmentasi jaringan untuk membantu mencegah penyebaran ransomware dengan mengontrol arus lalu lintas antara dan akses ke berbagai subnetwork dan dengan membatasi gerakan lateral musuh.
5. Pemfilteran network traffic menggunakan aturan firewall stateful untuk mencegah traffic yang tidak sah.
6. Hentikan koneksi VPN di segmen jaringan yang dikontrol, hanya izinkan koneksi resmi.
7. Install, update berkala, dan aktifkan deteksi real time antivirus pada semua komputer.
8. Tinjau pengontrol domain, server, workstation, dan direktori aktif untuk akun baru dan/atau yang tidak dikenal.
9. Mengonfigurasi Registri Windows untuk meminta persetujuan Kontrol Akses Pengguna (UAC) untuk setiap operasi PsExec yang memerlukan hak istimewa administrator untuk mengurangi risiko pergerakan lateral oleh PsExec.
10. Terapkan pemantauan log hypervisor dan pastikan bahwa log diproses pada sistem terpisah sebaiknya dengan SIEM.
11. Terapkan Kontrol Aplikasi (minimal dalam mode monitor untuk menangkap aktivitas yang tidak biasa).
12. Nonaktifkan hyperlinks pada email yang diterima.
13. Lakukan pencadangan harian dan simpan secara offline, terenkripsi, dan immutable (tidak bisa dimodifikasi atau dihapus).
14. Rencana pencadangan dan pemulihan bencana yang kuat yang dilakukan dengan baik akan memberi pemerintah, bisnis, dan individu kekuatan yang lebih besar saat membuat keputusan tentang memulihkan file mereka jika mereka menjadi korban.
15. Menyimpan data sensitif dengan aman dan tidak membagikannya dalam shared network.
16. Bagi perusahaan ataupun lembaga diharapkan melakukan edukasi secara rutin terhadap pegawainya mengenai security awareness.