Mengenal Brain Cipher Ransomware yang Membobol Pusat Data Nasional

Brain Cipher merupakan kelompok ransomware baru yang merupakan pengembangan dari Lockbit 3.0. Mereka baru saja muncul di feed Threat Intelligence dan belum mengumumkan secara spesifik siapa targetnya. Lockbit 3.0, yang menjadi dasar dari Brain Cipher, sebelumnya bertanggung jawab atas peretasan besar Bank Syariah Indonesia (BSI) pada Mei 2023, yang mengakibatkan gangguan layanan perbankan selama beberapa hari.

Menurut perusahaan keamanan siber Symantec, Brain Cipher Ransomware beroperasi dengan menggunakan berbagai metode seperti phishing dan intrusi eksternal, serta memanfaatkan Initial Access Brokers (IAB), yang merupakan orang dalam yang dibayar untuk memberikan akses internal ke sistem target. Jika tebusan tidak dibayarkan, kelompok ini kemungkinan akan mengeluarkan pengumuman publik, yang menandakan peretasan pertama oleh Brain Cipher Group. Saat ini, taktik, teknik, dan prosedur operasi Brain Cipher masih belum sepenuhnya dipahami, meskipun ada kemungkinan mereka memanfaatkan pedoman yang telah diketahui untuk akses awal, termasuk melalui IAB, phishing, eksploitasi kerentanan dalam aplikasi publik, atau penyusupan melalui pengaturan Remote Desktop Protocol (RDP).

Dengan latar belakang ini, penting bagi setiap organisasi untuk meningkatkan kewaspadaan dan memperkuat langkah-langkah keamanan siber mereka. Ancaman dari kelompok ransomware seperti Brain Cipher menunjukkan betapa pentingnya memiliki sistem keamanan yang solid, prosedur respons insiden yang efektif, dan pelatihan berkelanjutan untuk semua anggota organisasi mengenai cara mengidentifikasi dan mencegah serangan siber. Dengan memahami metode operasi dan strategi kelompok ransomware, organisasi dapat mengambil langkah proaktif untuk melindungi data dan infrastruktur mereka dari serangan yang berpotensi merusak.

Pada 17 Juni 2024 pukul 23.15 WIB, Brain Cipher memanfaatkan situasi di mana fitur keamanan Windows Defender dinonaktifkan untuk melancarkan serangan terhadap pusat data nasional. Keberhasilan mereka dalam mengakses sistem terjadi setelah fitur keamanan ini dimatikan, yang pada dasarnya membuka celah bagi aktivitas berbahaya untuk dimulai.

Namun, serangan yang sebenarnya baru dimulai pada 20 Juni 2024 pukul 00.54 WIB, ketika sejumlah aktivitas berbahaya dilakukan oleh Brain Cipher. Langkah pertama yang mereka lakukan adalah menginstal file malicious yang dirancang untuk mengambil alih kontrol atas sistem dan data yang ada. Selain itu, mereka juga melakukan penghapusan terhadap filesystem yang kritis, yang dapat menyebabkan kerusakan yang signifikan pada integritas data dan operasional sistem.

Sebagai bagian dari serangannya, Brain Cipher juga berhasil menonaktifkan layanan-layanan penting yang sedang berjalan pada pusat data tersebut. Tindakan ini bertujuan untuk memperlambat respon dan pemulihan sistem, sekaligus memperburuk dampak serangan tersebut. Di samping itu, mereka mengarahkan serangan mereka pada file-file terkait penyimpanan seperti Volume Shadow Copy Service (VSS), HyperV Volume, VirtualDisk, dan Veaam vPower NFS. File-file ini tidak hanya dinonaktifkan tetapi juga diakibatkan crash, memperparah situasi dengan membuat data yang tersimpan tidak dapat diakses atau dipulihkan dengan mudah.

Lalu pada pukul 00.55 WIB, situasi semakin memburuk ketika Windows Defender, alat pertahanan utama yang diandalkan untuk mendeteksi dan menghentikan serangan siber, mengalami crash. Kegagalan ini membuat pusat data nasional menjadi lebih rentan terhadap serangan lebih lanjut dari Brain Cipher, yang dapat terus berlanjut tanpa adanya penghalang yang signifikan.

Menurut perusahaan keamanan siber Symantec, para pembuat Brain Cipher menggunakan strategi double extortion, yaitu mencuri data sensitif sebelum mengenkripsinya dan meminta tebusan untuk memulihkan akses ke data tersebut. Korban serangan diberikan ID enkripsi yang diperlukan untuk melakukan pembayaran tebusan, yang biasanya dilakukan melalui situs mereka di dark web untuk mempertahankan anonimitas.

Symantec juga mencatat bahwa para pelaku diduga menggunakan berbagai taktik yang umum digunakan dalam serangan ransomware modern. Ini termasuk memanfaatkan Initial Access Brokers (IAB), yang merupakan pihak dalam yang membantu dalam menyediakan akses ke jaringan internal korban, serta menggunakan teknik phishing untuk mendapatkan akses tidak sah. Selain itu, mereka juga memanfaatkan celah keamanan yang ada dalam aplikasi publik atau meretas Remote Desktop Protocol (RDP) untuk mempermudah masuk ke dalam sistem target. Taktik ini menunjukkan tingkat kesiapan dan kemampuan teknis dari Brain Cipher dalam merancang dan melancarkan serangan ransomware yang merugikan.