Technologue.id, Jakarta - Kaspersky telah mengidentifikasi serangan ransomware menggunakan BitLocker Microsoft untuk percobaan mengenkripsi file perusahaan. Insiden ransomware yang dijuluki "ShrinkLocker" ini menggunakan skrip berbahaya dengan fitur baru yang bisa mencegah pemulihan file.
Para pelaku menargetkan perusahaan-perusahaan di bidang manufaktur baja dan vaksin, serta entitas pemerintahan. Negara target serangan ini terjadi di Meksiko, Indonesia, dan Yordania.
Tim Kaspersky Global Emergency Response melaporkan bahwa para pelaku ancaman menggunakan VBScript yaitu bahasa pemrograman yang digunakan untuk mengotomatisasi tugas-tugas pada komputer Windows, untuk membuat skrip berbahaya dengan fitur-fitur yang sebelumnya tidak dilaporkan guna memaksimalkan kerusakan akibat serangan tersebut.
Baca Juga:
Serangan Malware Mobile Banking di Perangkat Android Meningkat Pesat
Kebaruannya adalah skrip memeriksa versi Windows yang saat itu diinstal pada sistem dan mengaktifkan fitur BitLocker yang sesuai. Dengan cara ini, skrip tersebut diyakini dapat menginfeksi sistem baru dan lama hingga Windows Server 2008.
Jika versi OS cocok untuk serangan tersebut, skrip akan mengubah pengaturan boot dan mencoba mengenkripsi seluruh drive menggunakan BitLocker. Ini membuat partisi boot baru, yang pada dasarnya menyiapkan bagian terpisah pada drive komputer yang berisi file untuk mem-boot sistem operasi.
Tindakan ini bertujuan untuk mengurung korban pada tahap selanjutnya. Penyerang juga menghapus pelindung yang digunakan untuk mengamankan kunci enkripsi BitLocker sehingga korban tidak dapat memulihkannya.
Skrip berbahaya kemudian mengirimkan informasi tentang sistem dan kunci enkripsi yang dihasilkan pada komputer yang disusupi menuju server yang dikendalikan pelaku ancaman. Setelah itu, ia menutupi jejaknya dengan menghapus log dan berbagai file yang berfungsi sebagai petunjuk dan membantu penyelidikan serangan.
Baca Juga:
Serangan Mobile Malware Makin Marak Selama 2023
Sebagai langkah terakhir, malware akan melakukan penutupan paksa sistem dengan difasilitasi oleh pembuatan dan instalasi ulang file di partisi boot terpisah. Korban melihat layar BitLocker dengan pesan: "Tidak ada lagi opsi pemulihan BitLocker di PC Anda".
Kaspersky menjuluki skrip tersebut sebagai "ShrinkLocker" karena nama ini menyoroti prosedur penting pengubahan ukuran partisi, yang penting bagi penyerang untuk memastikan sistem melakukan booting dengan benar dengan file terenkripsi.
Hal yang sangat memprihatinkan dalam kasus ini adalah bahwa BitLocker, yang awalnya dirancang untuk mengurangi risiko pencurian atau eksploitasi data, telah digunakan kembali oleh musuh untuk tujuan berbahaya. Sungguh ironi bahwa tindakan pengamanan dijadikan senjata dengan cara seperti ini.
"Bagi perusahaan yang menggunakan BitLocker, penting untuk memastikan kata sandi yang kuat dan penyimpanan kunci pemulihan yang aman. Pencadangan rutin, disimpan secara offline dan diuji, juga merupakan perlindungan yang penting,” jelas Cristian Souza, Incident Response Specialist di Kaspersky Global Emergency Response Team.