FBI menerbitkan peringatan FLASH terbaru pada 7 Maret 2022, yang memperingatkan bahwa keluarga ransomware RagnarLocker telah menyerang setidaknya 52 organisasi di 10 sektor infrastruktur kritis, termasuk sektor manufaktur kritis, energi, jasa keuangan, pemerintahan, dan teknologi informasi.
Menurut Identity Theft Resource Center, serangan ransomware meningkat dua kali lipat pada tahun 2020, dan kembali meningkat dua kali lipat pada tahun 2021. Namun, satu hal yang menarik mengenai keluarga ransomware RagnarLocker adalah bahwa ransomware ini telah ada sejak tahun 2019 dan tetap menjadi ancaman, meskipun keluarga ransomware lain seperti Maze, DarkSide, REvil, dan BlackMatter telah berhenti beroperasi atau para pelakunya telah ditangkap.
Faktanya, FBI pertama kali menerbitkan peringatan FLASH mengenai keluarga ransomware RagnarLocker pada 19 November 2020. Dalam peringatan tersebut, FBI memperingatkan bahwa RagnarLocker menargetkan penyedia layanan cloud, perusahaan di bidang komunikasi, konstruksi, perjalanan, serta perusahaan perangkat lunak korporat.
Pendekatan yang Tidak Biasa dalam Pengaburan Kode
RagnarLocker memiliki beberapa karakteristik yang tidak lazim dan patut diperhatikan. Pertama, program ini akan menghentikan prosesnya jika mendeteksi bahwa lokasi mesin berada di salah satu dari beberapa negara Eropa Timur, termasuk Rusia dan Ukraina, yang mengindikasikan bahwa kelompok penyerang (atau pelaku ancaman) berasal dari salah satu negara tersebut (seperti halnya banyak keluarga ransomware Rusia lainnya).
Aspek paling unik dari RagnarLocker adalah cara ia menghindari deteksi dengan mengenkripsi file secara sangat tepat, bukan secara sembarangan. RagnarLocker memulai proses ini dengan memutus koneksi penyedia layanan terkelola, sehingga menciptakan lapisan penyamaran yang memungkinkannya beroperasi tanpa terdeteksi. Selanjutnya, RagnarLocker secara diam-diam menghapus Volume Shadow Copies untuk mencegah pemulihan file yang dienkripsi. Terakhir, RagnarLocker mengenkripsi file secara selektif, menghindari file dan folder yang sangat penting bagi pengoperasian sistem, seperti .exe, .dll, Windows, dan Firefox (di antara browser lainnya) – pendekatan ini mencegah timbulnya kecurigaan hingga serangan selesai.
Meskipun peringatan FLASH tidak menyebutkannya, ada beberapa aspek lain dari RagnarLocker yang telah dilaporkan di media dan juga menarik untuk diperhatikan. Menurut Bleeping Computer, RagnarLocker telah mengeluarkan peringatan bahwa mereka akan membocorkan data yang dicuri jika korbannya menghubungi FBI. Dan menurut SC Magazine, RagnarLocker telah menunjukkan bahwa mereka mampu memantau ruang obrolan tanggap insiden. Sementara itu, peringatan FLASH dari FBI menyarankan agar organisasi tidak membayar tebusan kepada pelaku kejahatan, karena hal tersebut dapat mendorong mereka untuk menargetkan organisasi lain.
Tampaknya cara terbaik untuk menghadapi situasi yang begitu rumit ini adalah dengan menghindari agar tidak menjadi korban pemerasan sejak awal.
Daftar Panjang IOC
Meskipun Rusia melakukan beberapa penangkapan simbolis terhadap kelompok-kelompok ransomware menjelang akhir tahun 2021, kecil kemungkinan kerja sama semacam ini akan berlanjut mengingat konflik yang masih berlangsung antara Rusia dan Ukraina. Terlepas dari itu, tampaknya jaring penangkapan semakin mengencang di sekitar RagnarLocker, karena beberapa Indikator Kompromi (IOC) yang diungkap FBI cukup mengungkap banyak hal – khususnya, terdapat beberapa varian alamat email yang mengandung nama “Alexey Berdin.”
Meskipun kedua peringatan FLASH tersebut menjelaskan teknik pengaburan yang digunakan RagnarLocker, menarik untuk diamati seberapa banyak informasi intelijen yang telah dikumpulkan ke dalam indikator kompromi (IOC) antara November 2020 dan Maret 2022. Selain lebih dari selusin alamat email, FBI juga telah mempublikasikan tiga alamat dompet Bitcoin, serta lebih dari 30 alamat IP yang terkait dengan server perintah dan kendali (C2) serta eksfiltrasi data.
FBI meminta semua organisasi yang terdampak untuk melaporkan indikator kompromi (IOC) tambahan, termasuk alamat IP dan berkas eksekusi yang berbahaya.
Infrastruktur Kritis Menjadi Sasaran
Bagi sebagian besar penyedia infrastruktur kritis, RagnarLocker merupakan peringatan terbaru di antara serangkaian serangan ransomware, seperti yang menimpa Colonial Pipeline, perusahaan pengolahan daging JBS, dan Kaseya. Untungnya, OPSWAT merupakan pelopor dalam perlindungan infrastruktur kritis.
Perlindungan infrastruktur kritis merupakan tantangan karena kompleksitas integrasi antara TI dan OT serta sistem SCADA lama, kesulitan dalam memperoleh visibilitas terhadap aset-aset kritis, dan kekurangan tenaga ahli di bidang keamanan siber yang bahkan lebih terasa di sektor infrastruktur kritis.
RagnarLocker bukanlah keluarga ransomware pertama, terakhir, atau satu-satunya yang menargetkan sektor infrastruktur kritis; oleh karena itu, sangat penting bagi organisasi-organisasi infrastruktur kritis ini untuk tetap waspada terhadap ancaman ini. Unduh Panduan Perlindungan Infrastruktur Kritis dari OPSWATuntuk mempelajari cara mempersiapkan organisasi Anda mulai hari ini.
