Category: blog

Pendahuluan IBM baru saja merilis laporan tahunan ke-20 mereka: Cost of a Data Breach Report 2025. Untuk pertama kalinya dalam lima tahun terakhir, biaya kebocoran data di seluruh dunia akhirnya mengalami penurunan. Namun, laporan ini juga menunjukkan perubahan besar di dunia keamanan siber. Kecerdasan buatan (AI) kini berperan penting, baik untuk pertahanan maupun serangan. Di satu sisi, AI membantu perusahaan mendeteksi ancaman dengan cepat. Tapi di sisi lain, penyerang juga mulai menggunakan AI generatif untuk membuat phishing, deepfake, dan serangan lain yang lebih canggih. Masalah lainnya: banyak organisasi terburu-buru mengadopsi AI tanpa aturan, tanpa pengawasan, dan tanpa kontrol keamanan. Hal ini membuat mereka rentan terhadap shadow AI, yaitu penggunaan AI tanpa izin dan tanpa pengawasan TI. Ringkasan Temuan Utama Laporan IBM 2025 1. Tren Global dan Biaya Kebocoran Data Tahun 2025 menjadi titik balik: biaya kebocoran data global turun untuk pertama kalinya sejak 2019. Penurunan ini terutama disebabkan oleh deteksi ancaman yang lebih cepat berkat penggunaan AI. Namun Amerika Serikat justru mencatat rekor baru karena tingginya denda dan biaya deteksi. 4,44 juta USD → rata-rata biaya kebocoran data global (turun 9% dari 2024) 10,22 juta USD → biaya rata-rata di Amerika Serikat 7,42 juta USD → sektor kesehatan masih menjadi sektor dengan biaya termahal Biaya deteksi dan eskalasi turun hampir 10%, berkat AI dan otomatisasi 2. Adopsi AI Meningkat, Tapi Keamanannya Tidak Banyak perusahaan mulai memakai AI, namun sebagian besar belum memiliki aturan atau kebijakan untuk mengelolanya. Akibatnya, muncul risiko baru seperti shadow AI—penggunaan AI tanpa izin, yang bisa membocorkan data sensitif. Data penting lainnya: 97% kebocoran terkait AI terjadi karena kurangnya kontrol akses 63% organisasi tidak memiliki kebijakan tata kelola AI 20% kebocoran berasal dari shadow AI → menambah biaya rata-rata 670.000 USD 65% data yang bocor dalam shadow AI adalah data pribadi pelanggan (PII) 3. Penyerang Juga Menggunakan AI Penjahat siber kini memanfaatkan AI untuk mempercepat serangan. Phishing, deepfake, dan pesan palsu kini bisa dibuat hanya dalam hitungan menit. Statistiknya: 1 dari 6 kebocoran data melibatkan penyerang yang menggunakan AI Metode serangan paling umum: Phishing buatan AI – 37% Deepfake – 35% IBM menemukan bahwa pembuatan email phishing dengan AI hanya memerlukan 5 menit, jauh lebih cepat dibandingkan 16 jam secara manual. 4. Ransomware dan Perubahan Respons Ransomware masih menjadi jenis serangan paling merugikan. Namun kini lebih banyak korban memilih tidak membayar tebusan. Sayangnya, semakin sedikit organisasi yang melibatkan aparat penegak hukum, padahal itu bisa mengurangi biaya total. 63% korban tidak membayar tebusan Rata-rata biaya ransomware: 5,08 juta USD Hanya 40% perusahaan yang melibatkan polisi atau pihak berwenang 5. Investasi Keamanan dan Tata Kelola Yang mengejutkan, semakin sedikit organisasi yang meningkatkan anggaran keamanan setelah mengalami kebocoran data. Hanya 49% organisasi yang meningkatkan anggaran keamanan (turun dari 63%) Namun bagi mereka yang berinvestasi, fokusnya adalah: AI untuk deteksi ancaman → 43% Pengujian respons insiden → 35% Perlindungan data → 37% Insight dari ThreatMon Laporan IBM 2025 menunjukkan bahwa AI telah mengubah aturan permainan di dunia keamanan siber. Perusahaan yang menggunakan AI dan otomatisasi mampu: mempercepat pendeteksian ancaman, mempersingkat waktu penanganan hingga puluhan hari, dan menghemat biaya jutaan dolar. Tetapi para penyerang juga menggunakan AI, sehingga ancaman semakin canggih dan sulit dibedakan dari interaksi asli manusia. Ditambah lagi, shadow AI menciptakan area “gelap” yang tidak terlihat oleh perusahaan. ThreatMon menyoroti empat area penting yang perlu diperhatikan organisasi: 1. Intelijen Ancaman Berbasis AI ThreatMon memantau: kit phishing, kampanye deepfake, dan infrastruktur serangan berbasis AI di dark web. Dengan begitu, organisasi bisa mendeteksi ancaman sebelum menyerang. 2. Deteksi Shadow AI dan Tata Kelola ThreatMon mengidentifikasi penggunaan AI tanpa izin, misalnya: API tidak aman, plug-in AI berbahaya, aplikasi AI yang tidak disetujui. Ini membantu organisasi mengurangi risiko kebocoran data dari alat AI yang tidak diawasi. 3. Deteksi dan Respons Insiden Lebih Cepat Organisasi yang menggunakan AI secara ekstensif dapat mempersingkat waktu kebocoran hingga 80 hari. ThreatMon memberikan: monitoring otomatis, deteksi dini, alert real-time. Ini mempercepat respons sebelum kebocoran membesar. 4. Ketahanan terhadap Ransomware ThreatMon mendukung organisasi dengan intelijen ransomware, panduan penegakan hukum, dan peningkatan playbook IR, sehingga mereka lebih siap menghadapi serangan. Kesimpulan Laporan IBM 2025 adalah peringatan keras bagi dunia bisnis. AI berkembang sangat cepat, dan penyerang tidak menunggu aturan keamanan atau kebijakan perusahaan. Tanpa tata kelola yang tepat, AI justru dapat membuka celah risiko baru. Dengan visibilitas, intelijen ancaman, dan otomatisasi yang tepat, organisasi tidak hanya bisa menutup celah pengawasan AI, tetapi juga menjadikannya keunggulan pertahanan. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, merupakan bagian dari PT. iLogo Indonesia, yang merupakan mitra terpercaya dalam solusi Infrastruktur IT dan Cybersecurity terbaik di Indonesia. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Di era digital yang serba terhubung seperti sekarang, setiap organisasi dihadapkan pada kenyataan yang tidak bisa dihindari: risiko digital ada di mana-mana. Mulai dari aset TI yang terlupakan, celah keamanan (zero-day vulnerability) pada perangkat lunak pihak ketiga, hingga kredensial (username dan password) yang bocor dan dijual di forum dark web—semuanya membuat permukaan serangan semakin luas, sementara penyerang semakin cepat bergerak. Namun, kabar baiknya: ketahanan siber (cyber resilience) bukan hanya soal bertahan dari serangan. Ini adalah strategi praktis yang dibangun berdasarkan visibilitas, konteks, dan tindakan nyata. Berikut panduan modern untuk meminimalkan risiko digital Anda, berdasarkan praktik keamanan terbaik dan bagaimana ThreatMon membantu tim keamanan di setiap langkahnya. Langkah 1: Ketahui Apa yang Anda Miliki Anda tidak bisa melindungi apa yang tidak Anda ketahui. Banyak organisasi memiliki Shadow IT (sistem TI yang digunakan tanpa sepengetahuan tim IT), sistem lama (legacy), subdomain yang terlupakan, atau aset digital yang tidak terkelola dengan baik. Semua ini bisa menjadi pintu masuk bagi penyerang. Karena itu, penemuan aset dan pemantauan real-time menjadi dasar dari manajemen risiko digital. Bagaimana ThreatMon Membantu: Secara otomatis menemukan semua aset digital milik organisasi Anda, termasuk sistem lama atau yang terlupakan. Mendeteksi domain dan subdomain baru untuk menutup “titik buta” (blind spot). Memantau masa berlaku domain dan sertifikat SSL agar tidak kedaluwarsa. Memantau perubahan, kesalahan konfigurasi, dan kerentanan secara real-time. Memberikan peringatan instan jika ada risiko baru yang muncul. Dengan peta aset digital yang selalu diperbarui, ThreatMon membantu Anda tidak kehilangan kendali atas apa yang harus dilindungi. Langkah 2: Perkuat Apa yang Bisa Anda Kendalikan Setelah memiliki visibilitas, langkah berikutnya adalah mengurangi risiko. Ini mencakup memperbaiki kerentanan, menginstal patch keamanan, memperbaiki konfigurasi, dan memperketat akses pengguna. Namun, tidak semua risiko harus segera diatasi. Prioritas adalah kuncinya. Bagaimana ThreatMon Membantu: Melakukan pemindaian berkelanjutan untuk menemukan kerentanan di perangkat lunak atau konfigurasi. Menggabungkan intelijen ancaman (threat intelligence) untuk mengetahui kerentanan mana yang sedang dieksploitasi oleh peretas. Memberikan panduan perbaikan atau patch yang spesifik. Mengirimkan laporan mingguan dan peringatan real-time tentang status risiko. Membantu tim Anda fokus pada perbaikan yang paling berdampak. ThreatMon membantu tim keamanan memperbaiki hal yang paling penting terlebih dahulu, bukan hanya bereaksi pada semua peringatan yang muncul. Langkah 3: Pantau di Luar Firewall Anda Tidak semua ancaman datang dari dalam jaringan. Sering kali, tanda-tanda awal serangan muncul di luar, seperti di forum dark web, pasar data bocor, atau saluran bawah tanah tempat para penyerang memperjualbelikan informasi curian. Bagaimana ThreatMon Membantu: Memindai dark web untuk mencari data pelanggan, kredensial karyawan, atau dokumen internal yang bocor. Mendeteksi username dan password yang dikompromikan. Mengirim peringatan jika kredensial organisasi Anda muncul di dark web. Memberikan laporan rutin untuk mendukung kepatuhan dan tanggap insiden. Dengan pemantauan eksternal ini, ThreatMon memberi peringatan dini terhadap ancaman yang tidak bisa dilihat oleh alat keamanan internal biasa. Langkah 4: Bangun Strategi Berdasarkan Risiko, Bukan Sekadar Peringatan Banyak tim keamanan bekerja secara reaktif—menangani peringatan demi peringatan tanpa melihat gambaran besar. Untuk mencapai ketahanan siber sejati, organisasi perlu beralih ke pendekatan berbasis risiko. Kerangka kerja seperti NIST Cybersecurity Framework atau Continuous Exposure Management mendorong organisasi untuk: Mengidentifikasi aset penting. Melindungi area yang rentan. Mendeteksi ancaman lebih awal. Merespons dengan cepat. Pulih dari serangan secara efisien. ThreatMon mempermudah proses ini dengan menggabungkan visibilitas aset, intelijen ancaman, manajemen kerentanan, dan pemantauan eksternal dalam satu platform terpadu. Hasilnya: tim Anda bisa membuat keputusan keamanan yang lebih cepat dan tepat. Langkah 5: Berdayakan Orang dan Bangun Budaya Keamanan Tidak ada strategi keamanan yang lengkap tanpa melibatkan manusia. Ketahanan siber tidak hanya bergantung pada teknologi, tapi juga pada kesadaran dan perilaku setiap karyawan. Karyawan perlu tahu cara mengenali phishing, melaporkan aktivitas mencurigakan, dan memahami pentingnya keamanan data. Di sisi lain, tim keamanan perlu memiliki alat yang bisa mengurangi beban kerja manual dan membantu mereka bertindak dengan lebih jelas dan efisien. ThreatMon membantu kedua aspek ini: Otomatisasi peringatan dan pelaporan mengurangi kelelahan akibat terlalu banyak notifikasi. Laporan yang mudah dipahami membantu pimpinan membuat keputusan cepat dan tepat. Kesimpulan: Dari Risiko Menuju Ketahanan Ancaman siber tidak akan berhenti berkembang. Tapi dengan langkah yang tepat, organisasi Anda bisa beralih dari sekadar bertahan menjadi benar-benar tangguh. Mulai dari menemukan aset tersembunyi, memantau dark web, memperbaiki kerentanan penting, hingga membangun strategi berbasis risiko—ThreatMon menyediakan solusi lengkap untuk meminimalkan risiko digital dan memperkuat ketahanan siber Anda di dunia yang terus berubah. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, merupakan bagian dari PT. iLogo Infralogy Indonesia, yang merupakan mitra terpercaya dalam solusi Infrastruktur IT dan Cybersecurity terbaik di Indonesia.  Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.id untuk informasi lebih lanjut!

Bulan Juli 2025 kembali menjadi pengingat bahwa serangan ransomware belum menunjukkan tanda-tanda melambat. Dari perusahaan konstruksi global hingga jaringan rumah sakit dan penyedia layanan SaaS besar, para penyerang sekali lagi membuktikan bahwa tidak ada industri yang benar-benar aman. Gelombang Serangan di Seluruh Dunia Awal bulan dimulai dengan kabar mengejutkan dari China Harbour Engineering Company, sebuah perusahaan konstruksi besar asal Tiongkok. Pada 5 Juli, kelompok peretas bernama Devman berhasil menembus sistem perusahaan dan mencuri dokumen teknik rahasia. Mereka kemudian mengancam akan membocorkannya ke publik jika tidak dibayar tebusan. Beberapa hari kemudian, Tyree Oil di Amerika Serikat menjadi korban berikutnya. Kelompok Play ransomware mencuri lebih dari 530 GB data keuangan dan pribadi, termasuk informasi pajak dan file penggajian. Di Arab Saudi, Rezayat Group diserang oleh kelompok Everest, yang mengklaim telah mencuri 10 GB data, berisi rencana teknik dan catatan keuangan. Sektor barang mewah juga tidak luput dari serangan. Richard Mille Asia & D’League, dua perusahaan yang bergerak di pasar jam tangan mewah, menjadi korban kelompok Lynx, yang membocorkan kontrak dan transaksi bisnis senilai miliar dolar. Sementara itu di Turki, jaringan rumah sakit Anadolu Hastaneleri mengalami serangan serius dari kelompok Direwolf. Mereka mencuri 240 GB data pasien, termasuk rekam medis dan informasi pribadi, yang menimbulkan kekhawatiran besar tentang privasi di sektor kesehatan. Dan pada akhir bulan, Mailchimp, salah satu penyedia layanan SaaS terkemuka dunia, juga menjadi korban. Kelompok Everest kembali beraksi, kali ini membocorkan hampir satu juta data pelanggan, mengguncang kepercayaan pengguna terhadap perusahaan besar tersebut. 🎭 Kelompok Penyerang di Balik Layar Beberapa kelompok ransomware yang muncul di bulan Juli ini memperlihatkan bagaimana dunia kejahatan siber semakin terorganisir dan beragam: Devman → pemain baru namun agresif. Mereka biasanya mencuri kredensial (username & password) menggunakan infostealer sebelum mengenkripsi file korban. Play → kelompok veteran yang dikenal karena mengeksploitasi koneksi VPN dan menggunakan kredensial RDP curian untuk menyebar ke seluruh jaringan korban. Everest → kelompok yang persisten dan berpengalaman, menggunakan alat seperti Cobalt Strike dan Metasploit untuk menembus sistem. Lynx → penerus dari ransomware INC, berkembang cepat dengan puluhan korban di berbagai sektor. Direwolf → bintang baru tahun 2025, menggabungkan teknik phishing, zero-day exploit, dan enkripsi canggih untuk menembus sistem target. ⚠️ Mengapa Ini Penting Rangkaian serangan di bulan Juli mengungkap tiga kenyataan besar dalam lanskap ransomware saat ini: Model “Double Extortion” kini sudah menjadi standar. Penyerang tidak hanya mengenkripsi data, tetapi juga mencurinya dan mengancam akan membocorkannya jika tebusan tidak dibayar. Sektor energi dan kesehatan menjadi target utama. Serangan terhadap rumah sakit dan infrastruktur vital bisa berdampak langsung pada nyawa manusia. Teknik serangan semakin canggih. Penyerang kini menggabungkan phishing, pencurian kredensial, eksploitasi VPN, dan kerentanan sistem menjadi satu rantai serangan yang kuat. Membangun Ketahanan dari Serangan Ransomware Menghadapi ransomware tidak cukup hanya dengan memasang firewall atau antivirus. Organisasi perlu mengambil langkah proaktif dan menyeluruh, di antaranya: Segera melakukan patching pada sistem dan aplikasi yang memiliki celah keamanan. Melatih karyawan untuk mengenali email dan pesan phishing agar tidak mudah tertipu. Menerapkan arsitektur Zero Trust, di mana setiap akses harus diverifikasi dan tidak ada pengguna yang dipercaya secara otomatis. Berbagi informasi ancaman dengan industri lain agar dapat belajar dari insiden sebelumnya dan memperkuat pertahanan bersama. Kesimpulan Serangan ransomware di Juli 2025 bukan hanya sekumpulan kasus yang berdiri sendiri, tetapi sebuah demonstrasi global tentang bagaimana para pelaku kejahatan siber bisa mengganggu ekonomi, industri, dan layanan publik penting seperti kesehatan. Pesan utamanya jelas: Ketahanan siber bukan lagi pilihan—melainkan keharusan. Organisasi di seluruh dunia harus meningkatkan kesadaran, memperkuat keamanan, dan menyiapkan rencana respons yang matang. Karena di era digital saat ini, serangan ransomware bukan soal jika akan terjadi, tapi kapan.   Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Rantai pasokan sekarang bukan hanya soal logistik. Dalam beberapa tahun terakhir, rantai pasokan telah menjadi salah satu area yang paling sering diserang dalam dunia keamanan siber. Menurut survei Marsh, 73% organisasi mengatakan bahwa pihak ketiga kini memiliki akses yang lebih besar ke data internal dibanding tiga tahun lalu—dan tren ini terus meningkat. Gartner bahkan memprediksi bahwa pada akhir tahun 2025, 45% organisasi akan mengalami serangan rantai pasokan perangkat lunak. Bayangkan skenario sederhana: perusahaan Anda menggunakan perangkat lunak pihak ketiga untuk memproses faktur. Suatu hari, vendor perangkat lunak tersebut diretas, dan penyerang menyisipkan kode berbahaya ke dalam pembaruan software. Saat Anda melakukan update, kode berbahaya itu ikut masuk ke sistem Anda—melewati firewall, antivirus, bahkan otentikasi multifaktor. Inilah yang terjadi pada kasus terkenal SolarWinds, di mana ribuan organisasi, termasuk lembaga pemerintah dan perusahaan besar, menjadi korban karena pembaruan software yang sudah disusupi. Kesenjangan Visibilitas Menurut Verizon Data Breach Investigations Report 2024, jumlah insiden siber yang melibatkan kerentanan perangkat lunak meningkat 180% dibanding tahun sebelumnya, dan 15% di antaranya melibatkan pemasok pihak ketiga. Namun, meski risikonya besar, sebagian besar organisasi masih tidak memiliki visibilitas terhadap apa yang terjadi di rantai pasokan mereka. Masalah ini bukan sekadar soal kebocoran data—tapi juga masalah bisnis. Serangan rantai pasokan bisa menghentikan operasional, membocorkan data pelanggan, dan menyebabkan kerugian finansial serta reputasi. Studi dari World Economic Forum mencatat bahwa rata-rata kerugian akibat kebocoran data pihak ketiga mencapai USD 4,9 juta, belum termasuk kerusakan nama baik perusahaan. Bagaimana ThreatMon Membantu Mengelola Risiko Rantai Pasokan Sebagian besar pelanggaran keamanan dalam rantai pasokan bukan disebabkan karena perusahaan gagal menambal sistem mereka sendiri, melainkan karena mereka tidak tahu apa yang terjadi di sistem para vendornya. ThreatMon Supply Chain Intelligence hadir untuk mengatasi kebutaan ini—memberikan visibilitas penuh dan wawasan yang bisa langsung ditindaklanjuti di setiap tahap manajemen risiko. 1️⃣ Melihat Gambaran Lengkap ThreatMon secara otomatis memetakan seluruh ekosistem digital pihak ketiga Anda—termasuk domain, alamat IP, sertifikat SSL, DNS, dan aplikasi yang digunakan vendor. Semua aset yang terhubung dengan vendor akan langsung terdeteksi. Karena dalam keamanan siber, Anda tidak bisa melindungi sesuatu yang Anda tidak tahu keberadaannya. 2️⃣ Menilai Risiko di Sembilan Lapisan Tidak semua risiko sama besar. ThreatMon menilai tingkat keamanan vendor melalui sembilan kategori penting: Keamanan aplikasi Keamanan jaringan Keamanan situs web Keamanan DNS dan domain Keamanan SSL/TLS Reputasi aset digital Manajemen identitas dan akses Keamanan endpoint Skor risiko keseluruhan Setiap vendor akan mendapatkan skor warna (merah, kuning, hijau), sehingga Anda bisa langsung melihat area yang perlu diperhatikan terlebih dahulu. 3️⃣ Pemantauan Real-Time Rantai pasokan terus berubah: vendor baru bergabung, sistem diperbarui, dan kerentanan baru muncul. ThreatMon memantau semua perubahan ini secara berkelanjutan, menandai temuan baru dan menilai status keamanan setiap aset—apakah lolos atau gagal. Ini bukan pemindaian sekali jalan, tapi radar keamanan yang selalu aktif. 4️⃣ Analisis Temuan Secara Mendalam Anda bisa menelusuri setiap vendor untuk melihat kerentanan spesifik, tingkat keparahan (kritis, tinggi, sedang), dan dampak bisnis yang mungkin terjadi. Hal ini membantu Anda memprioritaskan perbaikan berdasarkan risiko nyata, bukan sekadar notifikasi yang tidak penting. 5️⃣ Pelaporan yang Siap Audit Tim keamanan sering diminta untuk menunjukkan bukti kepatuhan kepada regulator, dewan direksi, atau klien. Dengan ThreatMon, Anda bisa menghasilkan laporan lengkap dalam format PDF hanya dengan satu klik—berisi skor keamanan, temuan, dan konteks yang mudah dipahami. Laporan ini siap digunakan untuk audit atau rapat manajemen. 6️⃣ Tindakan Berdasarkan Data Nyata ThreatMon tidak hanya menampilkan data teknis, tetapi juga menerjemahkannya menjadi wawasan yang bisa langsung ditindaklanjuti. Anda bisa bekerja sama dengan vendor untuk memperbaiki kelemahan, menilai risiko sebelum membeli layanan, dan memantau perbaikan dari waktu ke waktu. Hasilnya, keamanan menjadi bagian dari hubungan bisnis yang terukur dan kolaboratif. Dari Kebutaan ke Kecerdasan yang Bisa Ditindaklanjuti Data menunjukkan bahwa: Serangan rantai pasokan terus meningkat. Visibilitas organisasi terhadap vendor masih sangat rendah. Risiko siber kini sama dengan risiko rantai pasokan. Namun Anda tidak perlu menunggu sampai menjadi korban berikutnya. Dengan ThreatMon, Anda bisa memantau, menilai, melaporkan, dan mengamankan rantai pasokan Anda. Ubah titik buta menjadi keunggulan kompetitif. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Lanskap ancaman siber terus berkembang dengan cepat, dan salah satu segmen yang kini semakin terorganisir adalah Initial Access Brokerage (IAB) atau perantara akses awal. Para pelaku ini adalah penjahat siber yang secara khusus berfokus pada mendapatkan akses ilegal ke jaringan perusahaan, seperti VPN, RDP (Remote Desktop Protocol), platform CMS (Content Management System), hingga server email. Setelah berhasil mendapatkan akses, mereka kemudian menjualnya kembali di pasar gelap kepada kelompok ransomware, pelaku pencurian data, atau operator spionase digital. Antara awal tahun 2024 hingga pertengahan 2025, ThreatMon melakukan penyelidikan Open-Source Intelligence (OSINT) yang menyeluruh untuk memetakan skala dan jangkauan pasar IAB. Hasilnya cukup mengkhawatirkan. Temuan Utama dari Laporan ThreatMon Lebih dari 6.000 daftar akses awal ditemukan di berbagai forum dark web dan saluran Telegram. 156 negara menjadi korban, dengan Amerika Serikat menyumbang lebih dari 56% dari total akses yang dijual. Sektor yang paling sering menjadi target: Pemerintahan: 23,96% E-Commerce: 17,57% Layanan Keuangan: 14,44% Pendidikan: 12,92% Forum dan pasar gelap paling aktif: breachforums.st, exploit.in, dan xss.is. Aktor yang paling aktif: miyako, ProfessorKliq, diamond, dan sentap. Jangkauan Global dan Skala Industri Para broker akses ini bukan lagi peretas tunggal yang bekerja secara individu, melainkan penyedia akses yang terorganisir dalam ekosistem kejahatan siber yang lebih besar. Setiap penawaran yang mereka jual sering kali mencakup akses level admin, estimasi pendapatan korban, hingga detail infrastruktur internal. Ini menunjukkan bahwa pasar akses ilegal ini sudah matang dan terkomersialisasi. Forum dan grup Telegram kini menjadi tempat utama bagi para pelaku ini untuk berkoordinasi, menukar informasi, dan menjual akses secara sistematis. Negara-negara seperti India, Indonesia, Prancis, dan Tiongkok juga menjadi sasaran utama setelah Amerika Serikat. Sebagian besar serangan memanfaatkan sistem lama (legacy systems), kebijakan kata sandi yang lemah, dan konfigurasi akses jarak jauh yang salah. Metode dan Teknik Serangan Para pelaku IAB menggunakan berbagai cara untuk mendapatkan akses awal ke jaringan korban, antara lain: Eksploitasi RDP/RDWeb untuk masuk ke sistem jarak jauh. Penyalahgunaan kredensial VPN (username dan password). Memanfaatkan celah keamanan di CMS (Content Management System) yang belum ditambal (unpatched). Penggunaan webshell dan konfigurasi SSH yang salah. Pencurian informasi login melalui infostealer atau rekayasa sosial (social engineering). Setelah mendapatkan akses awal, para broker ini kemudian menjualnya kepada kelompok ransomware atau pelaku pemerasan data, yang kemudian melancarkan serangan lebih lanjut untuk mencuri atau mengenkripsi data perusahaan. Strategi Pertahanan yang Disarankan Untuk melindungi diri dari ancaman IAB, organisasi perlu menerapkan langkah-langkah keamanan berikut: Gunakan kebijakan kata sandi yang kuat dan aktifkan multi-factor authentication (MFA) untuk mencegah penyalahgunaan akun. Lakukan penilaian rutin terhadap permukaan serangan (attack surface) untuk mendeteksi celah sebelum dieksploitasi. Terapkan patch dan pembaruan keamanan secara teratur agar sistem tetap terlindungi dari kerentanan baru. Pantau forum dark web dan saluran Telegram untuk mengidentifikasi potensi kebocoran atau ancaman baru melalui intelijen siber. Batasi akses pengguna berdasarkan kebutuhan (access segmentation) dan kelola hak istimewa dengan ketat. Bangun kerangka kerja tanggap insiden (incident response framework) yang jelas dan cepat agar bisa meminimalkan dampak jika serangan terjadi. Kesimpulan Akses awal kini telah menjadi komoditas bernilai tinggi dalam ekonomi kejahatan siber. Industrialisasi pasar gelap ini—yang digerakkan oleh aktor-aktor terorganisir dan forum khusus—menunjukkan bahwa ancaman siber modern semakin profesional dan sistematis. Laporan ThreatMon menjadi peringatan serius bagi organisasi di seluruh dunia. Ancaman dari Initial Access Broker bukan sekadar isu teknis, melainkan risiko bisnis nyata yang bisa menimbulkan kerugian finansial, reputasi, hingga operasional. Karena itu, setiap perusahaan harus mengambil langkah proaktif, memperkuat pertahanan berlapis, dan membangun budaya keamanan siber yang kuat sebelum menjadi korban berikutnya di pasar gelap yang terus berkembang ini. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Di tengah meningkatnya ancaman siber tahun 2025, muncul sebuah alat berbahaya baru bernama Retro-C2. Malware ini dikembangkan oleh seorang aktor ancaman berbahasa Turki yang dikenal dengan nama ZeroTrace. Retro-C2 bukan sekadar Trojan biasa. Ia merupakan Remote Access Trojan (RAT) sekaligus infostealer — artinya, malware ini bisa mengendalikan komputer dari jarak jauh dan mencuri data penting dari pengguna. Yang membuatnya lebih berbahaya, Retro-C2 dibuat dengan bahasa C++, memiliki desain modular (mudah dikembangkan), dan disediakan secara gratis di GitHub serta Telegram, sehingga siapa pun — bahkan penjahat siber pemula — bisa menggunakannya.  Apa yang Membuat Retro-C2 Istimewa dan Berbahaya? Retro-C2 dirancang agar ringan, fleksibel, dan sangat sulit dideteksi. Struktur utamanya terdiri dari: Payload Windows terenkripsi (kode berbahaya yang dijalankan di komputer korban) Server Command & Control (C2) berbasis web yang dibuat dengan bahasa Go Dengan kombinasi ini, peretas dapat mengakses komputer korban secara real-time langsung dari browser melalui panel web yang terlihat seperti aplikasi admin biasa. Beberapa fitur unggulan Retro-C2 meliputi: Eksekusi di Memori (In-Memory Execution) Malware berjalan langsung di RAM menggunakan teknik Reflective DLL Loading, sehingga tidak meninggalkan file di hard disk. Bypass Antivirus dan EDR Retro-C2 menggunakan teknik direct syscall (dikenal sebagai Tartarus Gate) untuk menghindari deteksi antivirus dan EDR. Enkripsi Payload ChaCha20 Kode malware dienkripsi dan hanya didekripsi saat dijalankan, membuatnya tidak terlihat saat diam. Pencurian Data (Credential Theft) Retro-C2 bisa mencuri password, cookies, dan data pembayaran dari browser. Kontrol Penuh atas Komputer Korban Malware ini dapat: Mengakses desktop korban dari jarak jauh Merekam ketikan (keylogger) Menyadap suara dari mikrofon Mengambil isi clipboard (salinan teks yang disimpan pengguna) Menjalankan skrip dan mengubah pengaturan registry Dengan fitur selengkap itu, Retro-C2 selevel dengan alat spionase siber yang biasa digunakan oleh kelompok hacker negara (APT) — namun di sini, alat ini bebas diunduh siapa saja.  Bagaimana Cara Retro-C2 Bekerja?  Payload dan Loader Retro-C2 memuat sebuah DLL terenkripsi ke dalam memori komputer korban. DLL ini tidak langsung didekripsi, melainkan hanya ketika server C2 mengirim perintah. Dengan cara ini, malware tidak terdeteksi saat sedang “diam”.  Direct Syscalls Biasanya, malware menggunakan fungsi Windows standar (API). Tapi Retro-C2 langsung berinteraksi dengan sistem operasi di level bawah (syscall), sehingga antivirus yang memantau API tidak bisa melihat aktivitasnya.  Panel Kontrol Web Retro-C2 memiliki panel web modern yang memudahkan operator untuk: Membuka reverse shell (akses terminal ke komputer korban) Melihat tampilan layar korban secara langsung Menyadap mikrofon Memindai dompet kripto seperti MetaMask dan Trust Wallet Mengatur file, proses, registry, dan jaringan komputer korban  Mekanisme Persistensi Agar tetap aktif di sistem korban, Retro-C2 menggunakan berbagai cara: Menambahkan perintah di Registry Run Keys Menyalin file ke folder Startup Membuat tugas terjadwal (Scheduled Task) Menginstal dirinya sebagai layanan Windows (Windows Service) Dengan metode ini, malware akan otomatis aktif setiap kali komputer dihidupkan.  Distribusi Terbuka, Senjata yang Cepat Menyebar Hal paling mengejutkan dari Retro-C2 adalah cara penyebarannya. ZeroTrace memiliki grup Telegram berisi lebih dari 250 anggota yang menjadi pusat distribusi malware ini. Melalui grup tersebut, siapa pun bisa mengunduh builder Retro-C2, yaitu alat yang membuat file malware dengan sangat mudah — hanya butuh alamat IP dan port server, dan payload siap digunakan. Akses gratis seperti ini menjadikan Retro-C2 ancaman besar, karena: Siapa pun bisa membuat versinya sendiri. Peretas lain bisa menambah fitur baru (berkat desain modular). Malware bisa berkembang cepat dalam waktu singkat.  Cara Mendeteksi dan Mencegah Retro-C2 Untuk melindungi diri dari ancaman seperti Retro-C2, organisasi dan pengguna dapat melakukan langkah-langkah berikut: Gunakan EDR/XDR yang bisa mendeteksi aktivitas aneh di memori (seperti reflective loading atau syscall tidak biasa). Terapkan pengamanan browser, misalnya dengan tidak menyimpan kata sandi atau data pembayaran secara otomatis. Gunakan Multi-Factor Authentication (MFA) untuk mencegah akses tidak sah. Pantau aktivitas mencurigakan pada clipboard, mikrofon, dan proses sistem. Gunakan aturan YARA dari ThreatMon untuk mengenali tanda-tanda keberadaan Retro-C2 di komputer.  Kesimpulan Retro-C2 menggambarkan evolusi baru malware modern: open-source, modular, dan sangat licik. Teknologi yang dulu hanya bisa digunakan kelompok hacker tingkat tinggi kini tersedia secara bebas, sehingga ancamannya meningkat tajam. Dengan kemampuan seperti pengendalian jarak jauh, pencurian data, dan teknik anti-deteksi, Retro-C2 menjadi tantangan serius bagi tim keamanan di seluruh dunia. Organisasi harus lebih proaktif — memperbarui sistem deteksi, memantau perilaku mencurigakan, dan meningkatkan kesadaran keamanan siber di semua level. Laporan teknis lengkap dari ThreatMon menyediakan analisis mendalam dan tanda-tanda deteksi (IOC) yang bisa membantu tim keamanan untuk mendeteksi dan menghentikan Retro–C2 sebelum menimbulkan kerusakan lebih besar. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Tim Malware Research & Development dari ThreatMon berhasil mengungkap cara kerja GOGLoader, sebuah malware loader (pemuat malware) yang sangat canggih dan dijual secara komersial melalui model Malware-as-a-Service (MaaS). Malware ini menjadi populer karena kemampuannya yang luar biasa: menggabungkan kode C++ dengan payload berbasis .NET untuk membuat serangan yang diam-diam, sulit dideteksi, dan bisa bertahan lama di sistem korban.  Mengapa GOGLoader Berbahaya? Desain Hybrid yang Canggih GOGLoader menggunakan kombinasi dua bahasa pemrograman: C++ dan .NET. Komponen C++ bertugas mengeksekusi kode .NET langsung di memori tanpa menulis file ke hard disk. Artinya, tidak ada jejak file mencurigakan yang bisa dideteksi antivirus. Teknik ini membuatnya sangat sulit dianalisis oleh alat forensik atau antivirus tradisional. Dijual Secara Komersial di Dark Web GOGLoader tidak hanya digunakan oleh peretas profesional. Malware ini dijual di pasar gelap (dark web) lengkap dengan panel kontrol (Command and Control/C2) yang memiliki tampilan profesional. Dengan begitu, bahkan penjahat siber pemula pun bisa menjalankan kampanye serangan canggih hanya dengan mengikuti panduan yang sudah disediakan. Kemampuan Bertahan yang Tinggi (High Resilience) Malware ini dilengkapi fitur anti-analisis seperti: Anti-debug (menghindari proses debugging) Anti-VM (tidak aktif saat dijalankan di mesin virtual) Anti-sandbox (mengetahui jika sedang diuji oleh sistem keamanan) Teknik process hollowing kustom (menyembunyikan proses berbahaya di dalam proses sistem yang sah) Semua fitur ini membuat GOGLoader mampu melewati banyak solusi keamanan endpoint seperti antivirus atau EDR.  Detail Teknis GOGLoader 1. Infrastruktur Command & Control (C2) GOGLoader memiliki panel web multi-tab yang dirancang dengan rapi, terdiri dari menu seperti Clients, Payloads, Commands, Tasks, Builder, dan lainnya. Dari sini, operator malware dapat melakukan hal-hal seperti: Melihat daftar korban (bot) secara real-time. Menjadwalkan perintah otomatis. Mengunggah dan mengeksekusi payload baru. Memblokir alamat IP milik peneliti keamanan atau sandbox. Melihat peta penyebaran infeksi berdasarkan lokasi geografis. 2. Metode Eksekusi Payload GOGLoader bisa mengeksekusi malware melalui berbagai cara: Dari URL (mengunduh dan menjalankan file dari internet) Dari file lokal di komputer korban RUNPE – teknik injeksi kode ke proses lain agar terlihat seperti proses sah Metode-metode ini digunakan untuk menyisipkan kode berbahaya ke memori sistem, menjalankan perintah, dan mempertahankan akses ke perangkat korban. 3. Manipulasi Memori Malware ini juga mengubah izin pada area memori (misalnya dari RX menjadi RW) untuk bisa menulis dan menjalankan kode berbahaya secara diam-diam. Selain itu, GOGLoader menggunakan named pipe untuk berkomunikasi secara tersembunyi antarproses — teknik yang biasanya digunakan oleh kelompok APT (Advanced Persistent Threat) tingkat tinggi. 4. Mekanisme Persistensi dan Pengintaian GOGLoader mencari folder seperti: AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ untuk membuat dirinya aktif kembali setiap kali komputer dihidupkan. Ia juga mencari file DLL yang bisa “dihijack” (diganti atau ditimpa) di folder pengguna agar bisa menyusup ke sistem secara permanen.  Temuan Menarik dari Penelitian ThreatMon Shadow DLL Override GOGLoader memindai direktori pengguna untuk mencari file DLL dengan nama umum (misalnya kernel32.dll). Jika menemukan versi yang bisa ditimpa, malware akan memanfaatkannya untuk menjalankan kode jahat melalui mekanisme pemuatan DLL Windows. Integrasi dengan Telegram Bot Operator bisa menghubungkan GOGLoader ke bot Telegram. Setiap kali ada komputer baru terinfeksi, notifikasi langsung dikirim melalui Telegram. Kontrol Perintah Dinamis Malware ini memungkinkan operator untuk menjalankan tugas otomatis begitu korban terhubung ke C2 server. Misalnya, memperbarui malware, memperkuat persistensi, atau mengunduh payload tambahan.  Indikator Kompromi (IOCs) Peneliti ThreatMon menemukan sejumlah tanda yang bisa digunakan untuk mengenali GOGLoader, seperti: Alamat IP dan Domain yang Digunakan: IP: 45.129.185.58 Domain: api.ipify.org, api.telegram.org Hash File (SHA256): Beberapa hash file teridentifikasi sebagai versi GOGLoader dan payload .NET-nya.  Rekomendasi Pertahanan Untuk mencegah atau mendeteksi GOGLoader, organisasi disarankan untuk: Gunakan EDR/XDR yang dapat menganalisis aktivitas memori, bukan hanya file. Terapkan aturan YARA atau Sigma untuk mendeteksi tanda-tanda GOGLoader dari laporan teknis ThreatMon. Pantau eksekusi modul .NET yang tidak biasa di sistem Anda. Awasi lalu lintas keluar yang mencurigakan menuju Telegram atau layanan IP discovery seperti api.ipify.org. Terapkan application allowlisting, yaitu hanya mengizinkan aplikasi resmi untuk berjalan di lingkungan kerja. Kesimpulan GOGLoader menunjukkan bagaimana penjahat siber terus berinovasi dengan cara yang semakin licik. Dengan desain hybrid, kemampuan anti-analisis, dan fitur otomatisasi tinggi, malware ini menjadi ancaman serius bagi banyak perusahaan. Organisasi perlu memperkuat pertahanan mereka dengan pemantauan berbasis perilaku, analisis memori, dan prosedur deteksi real-time agar serangan semacam ini tidak berkembang lebih jauh. Untuk analisis teknis lengkap — termasuk disassembly, taktik penghindaran, dan tanda deteksi detail — pembaca dapat mengakses laporan lengkap GOGLoader dari ThreatMon. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

Di dunia digital yang terus berubah cepat, setiap layanan cloud baru, perangkat yang terhubung, atau login jarak jauh menambah lapisan risiko baru bagi perusahaan. Tantangan bagi tim keamanan bukan hanya mengetahui dari mana ancaman datang, tapi juga melihat gambaran besar lebih dulu sebelum para penyerang melakukannya. Di sinilah Attack Surface Management (ASM) berperan. ASM bukan lagi fitur tambahan, melainkan fondasi utama untuk menjaga ketahanan keamanan siber di era di mana ancaman berkembang lebih cepat dari sebelumnya. Di ThreatMon, kami membantu organisasi mengambil kembali kendali dengan mengungkap kerentanan tersembunyi, memetakan paparan digital, dan membantu tim keamanan memutuskan prioritas perbaikan dengan lebih cerdas. Apa itu Attack Surface Management? Bayangkan attack surface sebagai semua hal yang bisa ditemukan dan dimanfaatkan oleh peretas — mulai dari situs web, infrastruktur cloud, API publik, subdomain yang terlupakan, hingga database yang salah konfigurasi. Attack Surface Management (ASM) adalah proses berkelanjutan untuk menemukan dan mengamankan semua celah tersebut sebelum berubah menjadi insiden keamanan. Kata kuncinya di sini adalah berkelanjutan. Pemindaian satu kali saja tidak cukup. ASM modern membutuhkan pemantauan terus-menerus, wawasan real-time, dan kemampuan memprioritaskan risiko yang paling penting. Platform ASM milik ThreatMon dirancang untuk melakukan hal itu — memberikan peta digital real-time dari seluruh aset perusahaan disertai konteks ancaman, agar tim keamanan bisa fokus pada risiko yang paling kritis. Perimeter Risiko yang Semakin Luas Transformasi digital memang mendorong pertumbuhan bisnis, tetapi juga membuat strategi keamanan tradisional menjadi ketinggalan zaman. Lebih banyak pekerja jarak jauh, lebih banyak penggunaan layanan cloud, serta integrasi dengan pihak ketiga membuat permukaan serangan (attack surface) semakin luas dan kompleks. Akibatnya, banyak tim keamanan kesulitan memantau semua aset digital mereka. Mereka sering kewalahan dengan terlalu banyak peringatan dari berbagai alat, tapi tidak tahu mana yang benar-benar penting. Tanpa inventaris aset digital yang jelas, sulit untuk melindungi apa yang tidak diketahui. ThreatMon hadir untuk mengatasi tantangan ini. Kami secara terus-menerus memindai dan mendeteksi aset serta risiko baru, termasuk shadow IT (sistem yang digunakan tanpa izin resmi) dan risiko dari pihak ketiga, sehingga organisasi memiliki gambaran penuh tentang lingkungan digital mereka. Membangun Program ASM yang Efektif Program ASM yang kuat biasanya memiliki tiga kemampuan utama: Penemuan Aset Secara Berkelanjutan Mulailah dengan memetakan seluruh ekosistem digital Anda — dari aplikasi web, server cloud, hingga layanan publik lain. ThreatMon menggunakan teknologi zero-touch discovery untuk menemukan semua aset, bahkan yang tersebar di anak perusahaan atau kantor cabang luar negeri. Manajemen Kerentanan Berdasarkan Prioritas Tidak semua risiko memiliki tingkat bahaya yang sama. ThreatMon menilai paparan berdasarkan intelijen ancaman nyata, memberi skor risiko agar tim keamanan tahu mana yang harus segera diperbaiki. Pemantauan dan Respons Berkelanjutan Dunia digital bergerak cepat — begitu juga ancaman siber. Solusi ASM kami memantau 24/7, mendeteksi perubahan, salah konfigurasi, dan membantu melacak proses perbaikan agar keamanan tetap optimal. Praktik Terbaik untuk Keberhasilan ASM Beberapa langkah penting agar ASM berjalan efektif: Mulai dengan inventaris lengkap. Ketahui semua aset yang Anda miliki: beban kerja cloud, perangkat IoT, sistem shadow IT, hingga situs microsite pemasaran. Amankan titik masuk berisiko tinggi. Pastikan endpoint, aplikasi web, dan layanan yang terhubung dari luar memiliki perlindungan tambahan seperti firewall, EDR, dan kontrol akses yang tepat. Latih karyawan Anda. Banyak pelanggaran terjadi karena kesalahan manusia. Program ASM yang sukses juga mencakup kesadaran keamanan bagi seluruh karyawan, mulai dari cara mengenali phishing hingga menjaga data sensitif. Terapkan kebijakan dan tata kelola yang jelas. Pastikan tim DevOps dan IT memiliki prosedur yang teratur untuk patching, segmentasi jaringan, dan penghapusan aset lama. Lakukan penilaian awal sebelum menggunakan ASM. Ketahui kondisi keamanan Anda saat ini dan aset lama yang mungkin sudah tak terpantau. Ini akan membantu Anda mengukur kemajuan nantinya. Mengapa Memilih ThreatMon? Banyak vendor menawarkan solusi ASM, tetapi hanya sedikit yang menggabungkan visibilitas real-time dengan intelijen ancaman yang dapat ditindaklanjuti seperti ThreatMon. Kami tidak hanya memberi tahu apa yang terekspos, tapi juga apa yang paling penting dan harus dilakukan. Dengan ThreatMon, tim keamanan bisa: Menemukan aset tersembunyi atau terlupakan Mengungkap risiko dari pihak ketiga dan shadow IT Mendeteksi salah konfigurasi saat itu juga Menghubungkan paparan dengan pelaku ancaman nyata Mengintegrasikan data ASM ke sistem SIEM, XDR, atau manajemen kerentanan yang sudah ada Mengukur Dampak ASM Jika diterapkan dengan benar, ASM bukan hanya soal mengurangi risiko, tapi juga meningkatkan efisiensi operasional dan kepatuhan regulasi. Beberapa hasil yang dapat diukur antara lain: Lebih sedikit kerentanan kritis yang belum diperbaiki Waktu perbaikan yang lebih cepat Visibilitas yang lebih baik di lingkungan cloud dan remote Kepatuhan terhadap standar keamanan yang lebih kuat Komunikasi yang lebih efektif antara tim keamanan dan bisnis Kesimpulan Perusahaan modern tidak lagi terbatas oleh empat dinding kantor. Infrastruktur kini bersifat global, berbasis cloud, dan selalu berubah. Tanpa visibilitas yang jelas, tim keamanan hanya bisa menebak-nebak. Attack Surface Management memberikan pandangan menyeluruh, konteks, dan kendali untuk tetap selangkah di depan para penyerang. Dengan bantuan ThreatMon, organisasi dapat mengendalikan jejak digital mereka, mengurangi risiko, dan memperkuat ketahanan terhadap serangan siber di masa depan. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!

CyberVolk Ransomware adalah ancaman siber yang serius dan terus berkembang. Ransomware ini dibuat oleh kelompok hacker CyberVolk yang berasal dari India dan memiliki keterkaitan dengan kelompok peretas asal Rusia. Ransomware ini ditawarkan dalam model Ransomware-as-a-Service (RaaS) dan menggunakan teknik enkripsi canggih, termasuk algoritma yang tahan terhadap serangan komputer kuantum. Analisis ini membahas secara mendalam detail teknis CyberVolk ransomware, fitur uniknya, serta kerentanan yang bisa dimanfaatkan oleh profesional keamanan siber. Informasi lebih lengkap tersedia dalam laporan CyberVolk Ransomware Technical & Malware Analysis. Asal Usul dan Koneksi Kelompok CyberVolk Kelompok CyberVolk dibentuk pada Maret 2024 dengan nama awal GLORIAMIST India, lalu berganti nama menjadi CyberVolk. Mereka kemudian menjalin kerja sama dengan kelompok hacker asal Rusia dan menjadi bagian dari koalisi Holy League, yang menargetkan NATO, Ukraina, dan negara lain yang dianggap sebagai musuh Rusia. Aktivitas mereka mencakup serangan DDoS, peretasan situs web, pencurian data, hingga serangan ransomware. Kontributor CyberVolk Ransomware Pemimpin kelompok ini dikenal dengan nama samaran Hacker-K, yang berasal dari India. Analisis Teknis Malware CyberVolk ransomware pertama kali muncul pada 1 Juli 2024 dan segera dijual di dark web sebagai layanan RaaS. Awalnya ditulis dalam bahasa pemrograman C++, ransomware ini menggunakan kombinasi algoritma enkripsi seperti ChaCha20-Poly1305, AES, RSA, serta enkripsi yang tahan terhadap serangan komputer kuantum. Kombinasi ini membuat data yang dienkripsi sangat sulit untuk dipulihkan tanpa kunci dekripsi. Karakteristik Dasar CyberVolk Ransomware Bahasa Pemrograman: C++ Ukuran file: 7.79MB Tidak menggunakan packer Analisis Dinamis Saat dijalankan, ransomware membuat file gambar BMP di direktori $HOME\AppData\Temp dan mengatur gambar itu sebagai wallpaper latar belakang. Kemudian membuat file time.dat dengan waktu 5 jam sebagai hitung mundur yang ditampilkan di antarmuka pengguna. Proses enkripsi dimulai dari direktori $HOME. File akan dienkripsi dan hasilnya disimpan dengan ekstensi .CyberVolk, sementara file asli dihapus. Setelah semua file terenkripsi, file teks bernama CyberVolk_ReadMe.txt akan ditambahkan ke setiap direktori yang diserang. Isi CyberVolk_ReadMe.txt: Salam. Semua file Anda telah dienkripsi oleh ransomware CyberVolk. Jangan coba-coba memulihkan file Anda tanpa kunci dekripsi yang hanya saya berikan setelah Anda membayar. File Anda bisa hilang selamanya. Ikuti perintah saya. Bayar $1000 BTC ke alamat di bawah ini. Telegram saya: @hacker7 Tim kami: https://t.me/cubervolk Kami selalu menyambut Anda dan pembayaran Anda. Perilaku Lain yang Diamati Menggunakan conhost.exe untuk mendukung tampilan GUI. Mengubah pengaturan Safe Mode Windows lewat kunci registry SafeBoot. Membaca file dec_key.dat di $HOME\AppData\Roaming untuk proses dekripsi. Tidak melakukan validasi apakah kunci dekripsi benar atau tidak. Jika salah, file hasil dekripsi akan kosong (0 byte). Menggunakan API seperti IsDebuggerPresent dan IsProcessorFeaturePresent untuk mendeteksi debugger dan lingkungan virtual. Menggunakan instruksi CPUID untuk mendeteksi apakah sistem berjalan di dalam mesin virtual. Fitur Menyerupai Worm CyberVolk memindai seluruh drive dari A sampai Z untuk menyebarkan dirinya secara otomatis. Membuat thread baru untuk menjalankan diri di drive yang bisa diakses (seperti USB atau jaringan). Ransomware secara berkala mencari jendela bernama “TaskManagerWindow” dan langsung menutupnya untuk mencegah pengguna menghentikan proses ransomware melalui Task Manager. Setelah Proses Dekripsi Program akan menghapus dirinya sendiri menggunakan fungsi _exit(1);. Tidak meninggalkan jejak atau mekanisme persistensi apa pun setelah proses selesai. Kerentanan CyberVolk Ransomware Meski tergolong canggih, CyberVolk memiliki beberapa kelemahan penting: Tidak memblokir PowerShell, sehingga ransomware bisa dihentikan sebelum selesai mengenkripsi file. Tidak memiliki mekanisme persistensi, jadi ransomware tidak akan berjalan kembali setelah sistem direstart. Timer hitung mundur berdasarkan file time.dat bisa dimodifikasi untuk memperpanjang waktu analisis forensik. Fitur Unik CyberVolk Ransomware Offline Mode: Tidak memerlukan koneksi ke server (C2) untuk mengenkripsi/dekripsi, membuatnya lebih sulit dideteksi. Penghapusan File Saat Gagal Dekripsi: Jika kunci salah, ransomware tidak menampilkan pesan kesalahan tetapi langsung menghapus isi file, menyebabkan kehilangan data permanen. Mendeteksi Virtualisasi dan Debugging: Mencegah analisis mendalam oleh peneliti keamanan. Menutup Task Manager: Mencegah pengguna menghentikan proses secara manual. Strategi Mitigasi Untuk melindungi diri dari CyberVolk dan ransomware serupa: Backup data secara rutin, simpan salinannya secara offline atau di cloud. Edukasi karyawan tentang bahaya email phishing dan rekayasa sosial. Perbarui sistem dan perangkat lunak dengan patch keamanan terbaru. Gunakan software antivirus dan antimalware, serta perbarui secara berkala. Gunakan intelijen ancaman (CTI) untuk mendapat peringatan dini serangan ransomware. Gunakan filter spam lanjutan untuk mencegah email berbahaya masuk. Terapkan prinsip least privilege – hanya izinkan akses sesuai kebutuhan pengguna. Langganan feed intelijen siber agar mendapat informasi terkini soal ancaman. Terapkan application whitelisting – hanya izinkan aplikasi yang disetujui berjalan di sistem. IOC List (Daftar indikator kompromi – tidak ditampilkan secara rinci dalam ringkasan ini) Kesimpulan CyberVolk Ransomware menunjukkan betapa rumit dan berbahayanya ancaman ransomware saat ini. Namun dengan memahami cara kerja dan kelemahannya, tim keamanan siber bisa menyusun strategi untuk mengurangi dampaknya. Seiring berkembangnya ancaman siber, alat seperti ThreatMon menjadi sangat penting dalam mendeteksi dan menganalisis serangan sejak dini. Ingin memperkuat pertahanan keamanan Anda? Coba layanan uji coba gratis dari ThreatMon, yang menyediakan solusi intelijen ancaman dan deteksi yang komprehensif sesuai kebutuhan organisasi Anda. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!