Digitalmania – Sebagai ancaman yang paling menakutkan di dunia siber, ransomware terus berevolusi untuk meningkatkan efektivitas serangan mereka. Seperti dengan teknik yang baru saja mereka kembangkan yaitu intermitten encryption atau enkripsi parsial.
Teknik terbaru ini telah diadopsi oleh sejumlah besar geng ransomware, dengan enkripsi parsial mereka dapat mengenkripsi sistem korban lebih cepat.
Enkripsi Parsial
Enkripsi intermiten atau enkripsi parsial adalah taktik untuk mengenkripsi hanya bagian dari konten file yang ditargetkan, tapi masih akan membuat data tidak dapat dipulihkan tanpa menggunakan decryptor+key yang valid.
Misalnya, dengan melewatkan setiap 16 byte file lainnya, proses enkripsi hanya membutuhkan hampir separuh waktu yang diperlukan untuk enkripsi penuh tetapi masih mengunci konten untuk selamanya.
Selain itu, karena enkripsi lebih ringan, alat deteksi otomatis yang mengandalkan pendeteksian tanda-tanda masalah dalam bentuk operasi IO file yang intens cenderung gagal.
Atau dengan kata lain enkripsi parsial penting bagi operator ransomware dari dua perspektif:
- Kecepatan: Enkripsi dapat menjadi proses yang memakan waktu dan waktu sangat penting bagi operator ransomware, semakin cepat mereka mengenkripsi file korban, semakin kecil kemungkinan mereka terdeteksi dan dihentikan dalam proses. Enkripsi parsial melakukan kerusakan yang tidak dapat diperbaiki dalam jangka waktu yang sangat singkat.
- Penghindaran: Sistem deteksi ransomware dapat menggunakan analisis statistik untuk mendeteksi operasi ransomware. Analisis semacam itu dapat mengevaluasi intensitas operasi file IO atau kesamaan antara versi file yang diketahui, yang belum terpengaruh oleh ransomware, dan versi file terenkripsi yang diduga dimodifikasi. Berbeda dengan enkripsi penuh, enkripsi intermiten membantu menghindari analisis tersebut dengan menunjukkan intensitas operasi IO file yang jauh lebih rendah dan kesamaan yang jauh lebih tinggi antara versi file yang tidak dienkripsi dan dienkripsi.
Adopsi Enkripsi Parsial
Tren ini dimulai oleh LockFile pada pertengahan 2021 dan sekarang diadopsi oleh grup seperti Black Basta, ALPHV (BlackCat), PLAY, Agenda, dan Qyick.
Grup-grup ini secara aktif mempromosikan keberadaan fitur enkripsi intermiten dalam keluarga ransomware mereka untuk menarik afiliasi agar bergabung dengan operasi RaaS.
Sementara ransomware Qyick melalui pengembangnya, mereka diiklankan di forum peretasan dengan menyatakan bahwa Qyick memiliki fitur enkripsi intermiten dengan kecepatan yang tidak tertandingani,
Ransomware Agenda menawarkan enkripsi intermiten sebagai pengaturan opsional dan dapat dikonfigurasi. Tiga kemungkinan mode enkripsi parsial adalah:
skip-step [skip: N, step: Y] – Enkripsi setiap Y MB file, lewati N MB.
fast [f: N] – Enkripsi N MB pertama dari file.
persen [n: N; p:P] – Enkripsi setiap N MB file, lewati P MB, di mana P sama dengan P% dari total ukuran file.
Implementasi enkripsi intermiten BlackCat juga memberikan pilihan konfigurasi kepada operator dalam bentuk berbagai pola byte-skipping.
Misalnya, malware hanya dapat mengenkripsi byte pertama file, mengikuti pola titik, persentase blok file, dan juga memiliki mode “otomatis” yang menggabungkan beberapa mode untuk hasil yang lebih kusut.
Munculnya ransomware PLAY baru-baru ini melalui serangan profil tinggi terhadap Peradilan Córdoba Argentina juga didukung oleh kecepatan enkripsi intermiten.
PLAY tidak memberikan opsi konfigurasi, tetapi sebaliknya, itu hanya memecah file menjadi 2, 3, atau 5 potongan, tergantung pada ukuran file, dan kemudian mengenkripsi setiap potongan lainnya.
Terakhir, Black Basta, salah satu nama terbesar di dunia saat ini, juga tidak memberikan opsi kepada operator untuk memilih di antara mode, karena ketegangannya memutuskan apa yang harus dilakukan berdasarkan ukuran file.
Untuk file kecil di bawah ukuran 704 byte, itu mengenkripsi semua konten. Untuk file antara 704 byte dan 4 KB, ini mengenkripsi 64 byte dan melewati 192 byte di antaranya.
Jika ukuran file melebihi 4 KB, ransomware Black Basta mengurangi ukuran ruang interval tak tersentuh menjadi 128 byte, sedangkan ukuran bagian terenkripsi tetap 64 byte.
Prospek Enkripsi Parsial
Enkripsi Parsial tampaknya memiliki keuntungan yang signifikan dan hampir tidak ada kerugian, sehingga analis keamanan memperkirakan akan ada lebih banyak geng ransomware mengadopsi pendekatan ini segera,
Strain LockBit sudah yang tercepat di luar sana dalam hal kecepatan enkripsi, jadi jika geng mengadopsi teknik enkripsi parsial, durasi serangannya akan dikurangi menjadi beberapa menit.
Tentu saja, enkripsi adalah masalah yang kompleks, dan penerapan enkripsi parsial harus dilakukan dengan benar untuk memastikan bahwa itu tidak akan menghasilkan pemulihan data yang mudah oleh para korban.
Saat ini, implementasi BlackCat adalah yang paling canggih, sedangkan implementasi Qyick masih belum diketahui karena analis malware belum menganalisis sampel RaaS baru. Digitalmania. AN