Simak Ransomware yang Terungkap di Juni 2016 (1/2)

Crysis

Sejak kemunculannya di bulan Februari, untuk pertama kalinya peneliti berhasil mendeteksi jenis baru ransomware yang menarget ke individu dan perusahaan sekaligus. Kehadirannya sempat mengisi tajuk keamanan di awal bulan Juni dan dijuluki sebagai penerus TeslaCrypt.

Crysis merebak melalui email beracun yang memuat lampiran dengan dua ekstensi file yang membuat file executable dikemas seolah-olah bukan. Selain menumpang email-email spam yang memuat URL jahat, varian ini juga didistribusikan sebagai installer untuk aplikasi-aplikasi asli, seperti WinRAR, Microsoft Excel and iExplorer.

Setelah mengenkripsi lebih dari 185 jenis files, baik difixed drive maupun removable drive, jenis ransomware ini lantas menodong korban untuk membayar sejumlah tebusan dengan nominal bervariasi, antara US$455 hingga $1.022 dalam bentuk Bitcoin. Crysis juga mampu mengenkripsi file sistem yang membuat sistem menjadi tidak stabil lagi.

Selain menawan file di komputer korban, ransomware jenis ini juga mampu mengumpulkan credentials pengguna yang mereka temukan dari hasil menyisir komputer korban. Kemudian mengambil alih seluruh wewenang administrator di semua akun.

Selain kemampuannya untuk menginfeksi Windows dan Mac, varian ini juga memiliki kemampuan untuk melakukan propagasi di jaringan untuk menginfeksi perangkat lain yang ada di jaringan yang sama.

BlackShades

Untai ransomware baru berjuluk BlackShades atau SilentShades yang terdeteksi oleh Trend Micro sebagai CRYPSHED/ Troldesh membidik pengguna berbahasa Inggris dan Rusia dengan permintaan tebusan sebesar $30. Tebusan ini dibayarkan dalam bentuk Bitcoins melalui sebuah platform pembayaran online, Paypal.

Menariknya, kreator malware Blackshades juga meninggalkan serangkaian kode tertentu yang telah dimodifikasi sedemikian rupa sehingga apabila kode-kode tersebut dicermati lebih dalam akan membuat kita seolah-olah tengah berkomunikasi dengan seorang penjahat yang begitu lihai.

Salah satu untai kode yang berhasil diterjemahkan dari Bahasa Rusia berbunyi, You cannot hack me, I am very hard. Lainnya berbunyi, Hacked by Russian Hackers in Moscow Tverskaya Street atau youaresofartocrackMe.

Malware tersebut diketahui bisa mengenkripsi 195 jenis file menggunakan teknik enkripsi 256-bit AES. File-file tersebut ditemukan di drive C:// seperti di folder Downloads, Documents, Desktop, Pictures, Music, Videos, dan Public.

ID si korban kemudian akan ditaruh di semua folder dan di desktop. Setelahnya, semua ekstensi file yang terenkripsi akan berubah menjadi .silent. Dalam prosesnya, BlackShades berkomunikasi dengan server C&C miliknya untuk menyiarkan pembaruan jumlah file terenkripsi di komputer.

Sebuah file dengan nama Hacked_Read_me_to_decrypt_files.Html akan muncul di desktop yang berfungsi sebagai tulisan pesan yang berisi ancaman untuk meminta tebusan. File tersebut ditaruh juga di folder start-up oleh mereka. Sehingga setiap korban membuka komputer, selalu disambut dengan tulisan pesan ancaman tersebut.

Kemudian malware akan menghapus dirinya sendiri dan meningkalkan secarik pesan ancaman untuk tebusan saja. Korban diberi waktu 96 jam untuk membayar tebusan atau bila tidak file yang sudah terenkripsi akan dihapus semua. Meskipun peneliti melihat, pilihan memanfaatkan Paypal untuk membayar tebusan adalah cara yang agak janggal karena mudah ditelusuri jejaknya.