Analisis Teknis & Malware CyberVolk Ransomware

CyberVolk Ransomware adalah ancaman siber yang serius dan terus berkembang. Ransomware ini dibuat oleh kelompok hacker CyberVolk yang berasal dari India dan memiliki keterkaitan dengan kelompok peretas asal Rusia. Ransomware ini ditawarkan dalam model Ransomware-as-a-Service (RaaS) dan menggunakan teknik enkripsi canggih, termasuk algoritma yang tahan terhadap serangan komputer kuantum. Analisis ini membahas secara mendalam detail teknis CyberVolk ransomware, fitur uniknya, serta kerentanan yang bisa dimanfaatkan oleh profesional keamanan siber. Informasi lebih lengkap tersedia dalam laporan CyberVolk Ransomware Technical & Malware Analysis.

Asal Usul dan Koneksi Kelompok CyberVolk

Kelompok CyberVolk dibentuk pada Maret 2024 dengan nama awal GLORIAMIST India, lalu berganti nama menjadi CyberVolk. Mereka kemudian menjalin kerja sama dengan kelompok hacker asal Rusia dan menjadi bagian dari koalisi Holy League, yang menargetkan NATO, Ukraina, dan negara lain yang dianggap sebagai musuh Rusia. Aktivitas mereka mencakup serangan DDoS, peretasan situs web, pencurian data, hingga serangan ransomware.

Kontributor CyberVolk Ransomware

Pemimpin kelompok ini dikenal dengan nama samaran Hacker-K, yang berasal dari India.

Analisis Teknis Malware

CyberVolk ransomware pertama kali muncul pada 1 Juli 2024 dan segera dijual di dark web sebagai layanan RaaS. Awalnya ditulis dalam bahasa pemrograman C++, ransomware ini menggunakan kombinasi algoritma enkripsi seperti ChaCha20-Poly1305, AES, RSA, serta enkripsi yang tahan terhadap serangan komputer kuantum. Kombinasi ini membuat data yang dienkripsi sangat sulit untuk dipulihkan tanpa kunci dekripsi.

Karakteristik Dasar CyberVolk Ransomware

Bahasa Pemrograman: C++
Ukuran file: 7.79MB
Tidak menggunakan packer

Analisis Dinamis

Saat dijalankan, ransomware membuat file gambar BMP di direktori $HOME\AppData\Temp dan mengatur gambar itu sebagai wallpaper latar belakang.
Kemudian membuat file time.dat dengan waktu 5 jam sebagai hitung mundur yang ditampilkan di antarmuka pengguna.
Proses enkripsi dimulai dari direktori $HOME. File akan dienkripsi dan hasilnya disimpan dengan ekstensi .CyberVolk, sementara file asli dihapus.
Setelah semua file terenkripsi, file teks bernama CyberVolk_ReadMe.txt akan ditambahkan ke setiap direktori yang diserang.

Isi CyberVolk_ReadMe.txt:

Salam.

Semua file Anda telah dienkripsi oleh ransomware CyberVolk.

Jangan coba-coba memulihkan file Anda tanpa kunci dekripsi yang hanya saya berikan setelah Anda membayar.

File Anda bisa hilang selamanya.

Ikuti perintah saya.

Bayar $1000 BTC ke alamat di bawah ini.

Telegram saya: @hacker7

Tim kami: https://t.me/cubervolk

Kami selalu menyambut Anda dan pembayaran Anda.

Perilaku Lain yang Diamati

Menggunakan conhost.exe untuk mendukung tampilan GUI.
Mengubah pengaturan Safe Mode Windows lewat kunci registry SafeBoot.
Membaca file dec_key.dat di $HOME\AppData\Roaming untuk proses dekripsi.
Tidak melakukan validasi apakah kunci dekripsi benar atau tidak. Jika salah, file hasil dekripsi akan kosong (0 byte).
Menggunakan API seperti IsDebuggerPresent dan IsProcessorFeaturePresent untuk mendeteksi debugger dan lingkungan virtual.
Menggunakan instruksi CPUID untuk mendeteksi apakah sistem berjalan di dalam mesin virtual.

Fitur Menyerupai Worm

CyberVolk memindai seluruh drive dari A sampai Z untuk menyebarkan dirinya secara otomatis.
Membuat thread baru untuk menjalankan diri di drive yang bisa diakses (seperti USB atau jaringan).
Ransomware secara berkala mencari jendela bernama “TaskManagerWindow” dan langsung menutupnya untuk mencegah pengguna menghentikan proses ransomware melalui Task Manager.

Setelah Proses Dekripsi

Program akan menghapus dirinya sendiri menggunakan fungsi _exit(1);.
Tidak meninggalkan jejak atau mekanisme persistensi apa pun setelah proses selesai.

Kerentanan CyberVolk Ransomware

Meski tergolong canggih, CyberVolk memiliki beberapa kelemahan penting:

Tidak memblokir PowerShell, sehingga ransomware bisa dihentikan sebelum selesai mengenkripsi file.
Tidak memiliki mekanisme persistensi, jadi ransomware tidak akan berjalan kembali setelah sistem direstart.
Timer hitung mundur berdasarkan file time.dat bisa dimodifikasi untuk memperpanjang waktu analisis forensik.

Fitur Unik CyberVolk Ransomware

Offline Mode: Tidak memerlukan koneksi ke server (C2) untuk mengenkripsi/dekripsi, membuatnya lebih sulit dideteksi.
Penghapusan File Saat Gagal Dekripsi: Jika kunci salah, ransomware tidak menampilkan pesan kesalahan tetapi langsung menghapus isi file, menyebabkan kehilangan data permanen.
Mendeteksi Virtualisasi dan Debugging: Mencegah analisis mendalam oleh peneliti keamanan.
Menutup Task Manager: Mencegah pengguna menghentikan proses secara manual.

Strategi Mitigasi

Untuk melindungi diri dari CyberVolk dan ransomware serupa:

Backup data secara rutin, simpan salinannya secara offline atau di cloud.
Edukasi karyawan tentang bahaya email phishing dan rekayasa sosial.
Perbarui sistem dan perangkat lunak dengan patch keamanan terbaru.
Gunakan software antivirus dan antimalware, serta perbarui secara berkala.
Gunakan intelijen ancaman (CTI) untuk mendapat peringatan dini serangan ransomware.
Gunakan filter spam lanjutan untuk mencegah email berbahaya masuk.
Terapkan prinsip least privilege – hanya izinkan akses sesuai kebutuhan pengguna.
Langganan feed intelijen siber agar mendapat informasi terkini soal ancaman.
Terapkan application whitelisting – hanya izinkan aplikasi yang disetujui berjalan di sistem.

IOC List

(Daftar indikator kompromi – tidak ditampilkan secara rinci dalam ringkasan ini)

Kesimpulan

CyberVolk Ransomware menunjukkan betapa rumit dan berbahayanya ancaman ransomware saat ini. Namun dengan memahami cara kerja dan kelemahannya, tim keamanan siber bisa menyusun strategi untuk mengurangi dampaknya. Seiring berkembangnya ancaman siber, alat seperti ThreatMon menjadi sangat penting dalam mendeteksi dan menganalisis serangan sejak dini.

Ingin memperkuat pertahanan keamanan Anda? Coba layanan uji coba gratis dari ThreatMon, yang menyediakan solusi intelijen ancaman dan deteksi yang komprehensif sesuai kebutuhan organisasi Anda.

Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman.
Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!