Affiliate Ransomware Nakal Menyamar sebagai Jasa Recovery untuk Mencuri Pembayaran Tebusan

Sebuah kelompok yang diduga merupakan affiliate ransomware diketahui menyamar sebagai layanan pemulihan ransomware bernama Ransom Busters untuk menipu korban dan berusaha mengambil pembayaran yang seharusnya diberikan kepada operator ransomware.

Kelompok tersebut menghubungi korban setelah serangan ransomware terjadi, bahkan ketika insiden tersebut belum dipublikasikan, lalu menawarkan bantuan untuk mendapatkan decryption key sekaligus menghapus data curian dari server ransomware.

Aktivitas tersebut terungkap setelah tim Research and Intelligence Team (GRIT) dari GuidePoint Security menangani beberapa insiden ransomware yang melibatkan pesan mencurigakan dari Ransom Busters.

Yang membuat aktivitas ini sangat mengkhawatirkan adalah kemampuan kelompok tersebut mengetahui adanya serangan sebelum informasi mengenai insiden tersebut diketahui publik.

Ransom Busters Mengaku Bisa Menghapus Data Curian

Dalam komunikasinya kepada korban, Ransom Busters mengklaim telah menemukan dan mengeksploitasi vulnerability pada administrative panel yang digunakan oleh sejumlah operasi Ransomware-as-a-Service (RaaS).

Dengan akses tersebut, kelompok ini mengaku dapat memperoleh encryption key dan data yang dicuri dari korban.

Mereka kemudian menawarkan untuk memberikan decryption key serta menghapus data korban dari server ransomware dengan bayaran antara $20.000 hingga $60.000.

Kelompok tersebut bahkan mengklaim memiliki akses terhadap infrastruktur operasi ransomware seperti DragonForce, Settra, dan Anubis.

Namun, investigasi terhadap aktivitas mereka menunjukkan kemungkinan bahwa klaim tersebut hanyalah kedok untuk menyembunyikan identitas sebenarnya.

Diduga Merupakan Affiliate yang Menyerang Korban

GRIT menemukan sejumlah bukti yang mengarah pada kesimpulan bahwa Ransom Busters kemungkinan bukan perusahaan recovery independen.

Dalam dua insiden yang dianalisis, attacker menggunakan software yang sama, termasuk SoftPerfect Network Scanner, s5cmd, dan Remotely remote monitoring tool.

Teknik yang digunakan juga memiliki kemiripan.

Salah satunya adalah pembuatan local backdoor account dengan password Numlock!123.

Attacker juga menggunakan hostname yang sama, yaitu DESKTOP-BBETH6K.

Kesamaan tool, credentials, konfigurasi sistem, serta teknik serangan tersebut membuat peneliti menilai bahwa aktivitas Ransom Busters kemungkinan berasal dari pihak yang sama dengan attacker yang melakukan serangan ransomware.

GRIT menyatakan memiliki tingkat keyakinan moderat bahwa Ransom Busters merupakan satu affiliate ransomware yang memanfaatkan aksesnya untuk mendapatkan keuntungan tambahan dari korban maupun operator ransomware yang menjadi mitranya.

Mengapa Mengetahui Serangan yang Belum Dipublikasikan Sangat Mengkhawatirkan?

Biasanya, layanan recovery atau pihak ketiga yang menawarkan bantuan setelah serangan ransomware mendapatkan informasi mengenai korban dari pemberitaan, situs kebocoran data, forum, atau pengumuman publik.

Namun, Ransom Busters melakukan pendekatan ketika serangan belum diketahui publik.

Hal tersebut menunjukkan bahwa pihak yang menghubungi korban kemungkinan memiliki informasi langsung mengenai aktivitas serangan atau akses terhadap lingkungan yang digunakan oleh operasi ransomware.

Situasi ini membuat aktivitas tersebut jauh lebih berbahaya dibandingkan sekadar penipuan yang menyasar korban ransomware yang sudah diketahui secara publik.

Jika pihak yang menawarkan jasa recovery benar-benar memiliki akses terhadap decryption key dan data curian, korban juga tidak dapat dengan mudah mengetahui apakah mereka sedang bernegosiasi dengan pihak yang sah, attacker yang sebenarnya, atau pihak ketiga yang mencoba mengambil keuntungan dari insiden tersebut.

Belum Ada Korban yang Membayar Ransom Busters

GRIT mengatakan belum menemukan bukti bahwa ada korban yang benar-benar membayar tuntutan Ransom Busters.

Para peneliti justru menyarankan korban tidak membayar pihak tersebut.

Dalam salah satu kasus, korban akhirnya membayar langsung kepada operasi RaaS yang berada di balik serangan ransomware tersebut, bukan kepada Ransom Busters.

Menariknya, setelah pembayaran dilakukan, nama korban dan data yang dicuri tidak muncul di situs kebocoran data milik operasi ransomware tersebut.

Peneliti juga tidak menemukan bukti bahwa Ransom Busters menyebarkan data curian tersebut ke luar lingkungan RaaS.

Temuan tersebut dapat menjadi indikasi bahwa kelompok tersebut memang memiliki akses terhadap data korban, tetapi belum menggunakannya untuk melakukan publikasi atau pemerasan secara terpisah.

Coveware Menemukan Aktivitas Serupa

Perusahaan negosiasi ransomware Coveware juga mengonfirmasi bahwa mereka baru-baru ini menangani setidaknya satu insiden ketika pihak yang sama atau individu yang sama menghubungi korban.

Pihak tersebut mengklaim memiliki akses terhadap decryption key sekaligus data yang telah dicuri.

Coveware mengatakan mereka telah menemukan aktivitas dari “middlemen” semacam ini menggunakan nama berbeda sejak 2024.

Namun, aktivitas Ransom Busters dianggap berbeda dari pola umum ambulance chasers, yaitu pihak ketiga yang menghubungi korban setelah serangan ransomware diketahui secara publik.

Dalam kasus Ransom Busters, pihak ketiga justru mengetahui insiden yang masih bersifat non-publik.

Risiko Korban Semakin Sulit Memastikan Data Akan Dihapus

Kehadiran affiliate nakal seperti ini menciptakan masalah baru bagi korban ransomware.

Dalam situasi normal, korban yang membayar operator ransomware dapat memperoleh decryption key dan berharap data yang dicuri tidak dipublikasikan berdasarkan kesepakatan dengan attacker.

Namun, apabila affiliate atau pihak lain juga memiliki salinan data tersebut, pembayaran kepada operator ransomware belum tentu menjamin bahwa semua pihak yang memiliki akses akan mematuhi kesepakatan.

Artinya, korban dapat membayar tebusan tetapi tetap menghadapi risiko data dipublikasikan oleh pihak lain yang sebelumnya terlibat dalam serangan.

Kondisi tersebut juga berpotensi menciptakan konflik internal di dalam ekosistem RaaS.

Affiliate yang merasa dapat memperoleh keuntungan lebih besar dengan menyimpan atau menjual kembali akses serta data korban memiliki insentif untuk tidak sepenuhnya mengikuti mekanisme pembagian keuntungan dengan operator ransomware.

Model RaaS Berpotensi Memicu Lebih Banyak Konflik

Dalam model Ransomware-as-a-Service, operator ransomware biasanya menyediakan malware dan infrastruktur, sementara affiliate menjalankan serangan terhadap korban. Hasil pemerasan kemudian dibagi berdasarkan kesepakatan antara kedua pihak.

Namun, akses affiliate terhadap korban dan data curian memberikan peluang bagi pihak tertentu untuk memperoleh keuntungan di luar mekanisme pembagian tersebut.

Jika pola seperti Ransom Busters semakin sering terjadi, korban bukan hanya harus berhadapan dengan operator ransomware, tetapi juga dengan affiliate atau pihak lain yang memiliki akses terhadap data mereka.

Situasi tersebut dapat semakin memperumit proses negosiasi dan mengurangi kepercayaan antara operator RaaS dan affiliate.

Bagi korban ransomware, kemunculan pihak yang mengaku memiliki decryption key atau data curian sebelum insiden diketahui publik harus diperlakukan dengan sangat hati-hati.

Klaim kepemilikan data atau kemampuan menghapus informasi dari server ransomware tidak otomatis membuktikan bahwa pihak tersebut merupakan recovery firm yang sah.

Sumber: [GuidePoint Security]