Ransom Busters Retas Server Ransomware, Minta Bayaran Rp1 Miliar

Kelompok yang mengaku sebagai Ransom Busters membuat modus baru dalam ekosistem ransomware. Alih-alih hanya menjadi pelaku serangan, kelompok tersebut justru mendatangi organisasi yang sudah menjadi korban ransomware dan menawarkan bantuan untuk menghapus data curian dari server kelompok ransomware lain.

Namun, bantuan tersebut tentu tidak gratis. Ransom Busters meminta korban membayar antara US$20.000 hingga US$60.000 dengan klaim dapat membantu mengembalikan akses data sekaligus menghapus salinan data yang dicuri dan disimpan oleh kelompok ransomware.

Modus ini terungkap setelah GuidePoint Research and Intelligence Team (GRIT) menangani sejumlah insiden ransomware. Tim peneliti menilai pola komunikasi Ransom Busters sangat tidak biasa karena kelompok tersebut secara aktif menghubungi korban, bahkan sebelum serangan ransomware menjadi perhatian publik.

“Dalam pesan tersebut, pihak ketiga menawarkan bantuan kepada korban untuk pulih dari serangan ransomware. Hal ini langsung terlihat tidak biasa,” ujar GRIT dalam laporan yang dibagikan kepada The Hacker News.

Biasanya, perusahaan keamanan siber memang dapat menawarkan layanan konsultasi, investigasi, atau pemulihan kepada korban ransomware. Namun, pendekatan tersebut umumnya dilakukan setelah insiden diketahui atau korban secara resmi meminta bantuan.

Dalam kasus Ransom Busters, pendekatannya berbeda. Kelompok tersebut justru menghubungi korban secara langsung dan menawarkan solusi dengan imbalan pembayaran.

Ransom Busters Klaim Sudah Bobol Server RaaS

Dalam email yang dikirim kepada korban, Ransom Busters meminta dapat berkomunikasi dengan CEO atau pimpinan teknologi informasi perusahaan. Kelompok tersebut mengklaim telah menemukan celah keamanan pada panel administrasi yang digunakan oleh sejumlah kelompok ransomware-as-a-service (RaaS). Mereka bahkan mengaku telah memiliki akses ke server kelompok ransomware selama lebih dari tiga tahun.

Klaim tersebut kemudian digunakan untuk meyakinkan korban bahwa mereka memiliki kemampuan untuk mengambil kembali data yang sebelumnya dicuri oleh penyerang ransomware.

Ransom Busters menyebut telah menemukan data milik korban di salah satu server yang berhasil mereka akses. Mereka kemudian menawarkan untuk membantu mendapatkan kembali file dan data perusahaan serta menghapus salinan cadangan yang masih berada di tangan kelompok ransomware.

Sebagai imbalannya, korban diminta membayar antara US$20.000 hingga US$60.000.

Sekilas, tawaran tersebut mungkin terlihat seperti jalan keluar bagi perusahaan yang sedang menghadapi pemerasan ransomware. Namun, peneliti keamanan justru memperingatkan korban agar tidak mudah percaya. GuidePoint menemukan modus tersebut saat menangani insiden yang berkaitan dengan beberapa kelompok ransomware, termasuk DragonForce, Settra, dan Anubis.

Menurut GuidePoint, kemungkinan Ransom Busters merupakan organisasi keamanan siber yang benar-benar sah sangat kecil. Pasalnya, aktivitas mereka melibatkan akses tidak sah ke server kelompok lain. Tindakan tersebut bahkan berpotensi melanggar Computer Fraud and Abuse Act di Amerika Serikat.

Justin Timothy, Principal Consultant di GRIT, mengatakan kondisi tersebut menimbulkan dua kemungkinan. Operator Ransom Busters mungkin sengaja menyembunyikan asal-usul akses yang mereka miliki atau memang melakukan aktivitas di luar batas hukum.

Menariknya, ketika ditanya alasan meminta pembayaran, kelompok tersebut memberikan jawaban yang dinilai membingungkan. Mereka mengklaim bahwa bekerja tanpa kompensasi justru dapat membahayakan akses mereka ke infrastruktur kelompok ransomware.

Jejak Digital Mengarah ke Operator yang Sama

Kecurigaan terhadap Ransom Busters semakin kuat setelah GuidePoint menganalisis dua insiden berbeda yang melibatkan kelompok tersebut. Peneliti menemukan sejumlah kesamaan teknis yang cukup mencolok. Beberapa alat yang digunakan dalam kedua insiden ternyata sama.

Salah satunya adalah SoftPerfect Network Scanner, yang dapat digunakan untuk melakukan pengintaian dan pemetaan jaringan internal. Peneliti juga menemukan penggunaan s5cmd, sebuah alat yang dapat digunakan untuk memindahkan atau mengekstraksi data menuju penyimpanan cloud melalui AWS.

Selain itu, pelaku menggunakan Remotely, alat remote monitoring and management (RMM), yang dipasang melalui skrip PowerShell. Tidak hanya perangkat yang digunakan, pola aktivitas pelaku juga memiliki kesamaan.

Dalam kedua insiden, ditemukan pembuatan akun backdoor lokal dengan kata sandi yang sama. Peneliti juga menemukan hostname yang dikendalikan penyerang, yaitu DESKTOP-BBETH6K, pada kedua intrusi. Kesamaan tersebut meningkatkan dugaan bahwa aktivitas Ransom Busters sebenarnya dilakukan oleh satu operator atau kelompok kecil yang sama.

Dengan kata lain, pihak yang mengaku sebagai penyelamat korban ransomware kemungkinan bukan pihak ketiga yang berdiri sendiri. Ada kemungkinan mereka merupakan afiliasi ransomware yang sama atau individu yang memiliki hubungan langsung dengan operasi ransomware.

Korban Diminta Tidak Mudah Percaya

Bagi perusahaan yang menjadi korban ransomware, kemunculan Ransom Busters menambah satu persoalan baru. Korban tidak hanya harus menghadapi kelompok ransomware yang mengenkripsi atau mencuri data. Mereka juga harus berhati-hati terhadap pihak lain yang datang menawarkan bantuan dengan imbalan uang.

Justin Timothy menegaskan bahwa pelaku kriminal tidak dapat dipercaya.

Menurutnya, kelompok seperti Ransom Busters dapat menggunakan taktik penipuan untuk mendorong korban melakukan pembayaran tambahan. Bahkan, kelompok tersebut diduga tidak ragu mengkhianati mitra kriminalnya sendiri jika tindakan itu dapat menghasilkan keuntungan.

Yang paling penting, pembayaran kepada pihak kriminal tidak memberikan jaminan bahwa data yang dicuri akan benar-benar dihapus. Data yang telah dicuri dapat saja tetap disimpan, disalin, dijual, atau digunakan untuk pemerasan berikutnya.

Karena itu, perusahaan tidak seharusnya menganggap pembayaran sebagai solusi otomatis untuk menghapus risiko kebocoran data.

UNC6671 Juga Bidik Perusahaan Besar

Pengungkapan mengenai Ransom Busters muncul ketika GuidePoint juga mengungkap aktivitas kelompok ancaman lain yang dikenal sebagai UNC6671, atau dengan nama lain Cordial Spider dan O-UNC-045.

Kelompok ini menjalankan operasi adversary-in-the-middle (AitM) yang menargetkan sektor jasa keuangan, perusahaan hukum, dan sejumlah industri lainnya. Operasi tersebut telah berlangsung sejak April dan dijalankan melalui beberapa merek pemerasan data, antara lain Falcon, Helix, Pink, Redact, dan BlackFile.

Menurut GuidePoint, pola serangan UNC6671 menunjukkan perubahan strategi. Jika sebelumnya serangan ransomware cenderung dilakukan secara oportunistis, kini kelompok kriminal semakin sengaja memilih organisasi besar sebagai target.

Pendekatan tersebut dikenal sebagai big game hunting.

Target yang dipilih bukan lagi sekadar perusahaan yang mudah diserang, melainkan organisasi yang dinilai memiliki kemampuan membayar tebusan dalam jumlah besar. Selama periode tersebut, lebih dari US$8 juta pembayaran tercatat masuk ke 15 dompet Bitcoin yang dikaitkan dengan lima merek pemerasan data tersebut.

Rata-rata nilai pemerasan mencapai sekitar US$600.000. GuidePoint juga menemukan 78 subdomain phishing unik yang digunakan untuk menargetkan 76 organisasi di 15 sektor industri. Sekitar 40 persen target berkaitan dengan hedge fund, venture capital, private equity, manajemen aset, dan perusahaan jasa keuangan lainnya.

Work Panel Membuat Operasi Lebih Terorganisasi

UNC6671 juga menggunakan sistem khusus bernama Work Panel. Sistem tersebut memungkinkan pelaku mengatur akses berdasarkan peran, melakukan pengintaian terhadap calon target melalui API data B2B komersial, menyediakan infrastruktur secara otomatis, serta mengelola proses penerusan kredensial secara real-time.

Untuk menjalankan phishing, kelompok tersebut menggunakan halaman yang dibuat menyerupai layanan identitas populer seperti Okta dan Microsoft 365. Teknik ini membuat korban lebih mudah percaya karena tampilan dan alur yang digunakan terlihat seperti layanan resmi yang biasa mereka gunakan.

GuidePoint menilai perkembangan tersebut menunjukkan bahwa pencurian kredensial melalui vishing, atau phishing berbasis panggilan suara, semakin terindustrialisasi. Operasi kriminal kini tidak selalu dijalankan oleh satu pelaku yang melakukan semua pekerjaan. Sebaliknya, setiap orang dapat memiliki tugas yang berbeda.

Operator telepon hanya mengetahui nomor target yang harus dihubungi. Manajer mengawasi sesi yang sedang berlangsung, sedangkan administrator mengendalikan infrastruktur. Pembagian tersebut membuat setiap pelaku memiliki akses informasi yang terbatas. Bagi kelompok kriminal, strategi ini dapat mengurangi risiko kebocoran informasi dari orang dalam.

Operator bahkan direkrut melalui saluran bawah tanah, dibayar berdasarkan keberhasilan mendapatkan korban, dan sengaja tidak diberikan akses terhadap hasil akhir dari pekerjaan mereka.

Kelompok Ransomware Baru Terus Bermunculan

Sementara itu, ekosistem ransomware secara keseluruhan juga terus berkembang. Dalam beberapa bulan terakhir, muncul berbagai kelompok baru, termasuk Tengu, CRPx0, Majinahanashi, Elite Enterprise, BARADAI, Aur0ra, Lalia, QV Ransomware, Friends, Doommageddon, PicMo, dan Orova. Setiap kelompok memiliki karakteristik dan target yang berbeda. 

Tengu dan CRPx0 diketahui banyak menargetkan organisasi di Amerika Serikat dan Turki. Sementara itu, Majinahanashi lebih banyak menargetkan organisasi di Swiss, Italia, Jerman, Bulgaria, dan India. Situs kebocoran data yang dikaitkan dengan Majinahanashi menggunakan slogan “DECISION REQUIRES CLARITY”.

Peneliti keamanan Rakesh Krishnan menilai Majinahanashi sebagai keluarga ransomware kelas menengah. Kelompok ini memiliki sejumlah pilihan teknis yang menarik, terutama dalam pengendalian jaringan dan pengaturan prioritas input/output.

Namun, Majinahanashi belum menunjukkan teknik anti-analisis yang sangat canggih maupun metode kriptografi baru.

Meski begitu, implementasinya dinilai cukup matang dan memperhatikan kinerja. Kombinasi double extortion, yakni mengenkripsi data sekaligus mengancam membocorkan data yang dicuri, dengan teknik modern membuat kelompok tersebut tetap perlu dipantau.

Ekosistem Ransomware Semakin Terfragmentasi

Laporan State of Ransomware Q2 2026 dari Check Point menunjukkan semakin banyak organisasi yang menjadi korban. Sebanyak 2.139 organisasi tercatat dalam situs kebocoran data ransomware selama periode tersebut. Yang menarik, dominasi kelompok ransomware terbesar justru menurun. Pangsa 10 kelompok terbesar turun dari 71 persen pada kuartal sebelumnya menjadi 57,6 persen. Pada waktu yang sama, jumlah kelompok ransomware aktif meningkat dari 71 menjadi 93 kelompok.

Artinya, pasar ransomware semakin terpecah. Tidak lagi hanya didominasi beberapa kelompok besar, tetapi diisi semakin banyak operator dengan skala, target, dan model bisnis yang berbeda. Perubahan juga terlihat dari cara kelompok ransomware melakukan serangan.

Menurut CYFIRMA, kelompok ransomware modern semakin banyak melakukan pre-positioned access, yakni mendapatkan dan mempertahankan akses ke jaringan korban sebelum menjalankan tahap utama serangan. Pelaku lebih dahulu mencuri kredensial, melakukan pengintaian, meningkatkan hak akses, dan mempersiapkan lingkungan korban. Setelah semuanya siap, barulah serangan ransomware dijalankan. Strategi ini memungkinkan pelaku memaksimalkan peluang keberhasilan dan mengurangi risiko kegagalan ketika proses enkripsi dimulai.

873 Korban Dicatat pada Juli 2026

Data terbaru juga menunjukkan bahwa aktivitas ransomware masih tinggi. Sepanjang Juli 2026, tercatat 873 korban ransomware yang diklaim oleh berbagai kelompok. Jumlah tersebut meningkat dibandingkan Juni yang mencatat 722 korban. Angka tertinggi sepanjang tahun ini terjadi pada Maret 2026 dengan 909 korban.

Kelompok yang paling aktif pada Juli antara lain The Gentlemen, Qilin, dan CRPx0. Ketiganya masing-masing mengklaim 138, 133, dan 46 korban. CRPx0 sendiri menjadi salah satu kelompok yang menarik perhatian karena tidak hanya menjalankan model RaaS. Kelompok tersebut menawarkan operasi white-label, sehingga pembeli dapat menjalankan kampanye ransomware dengan menggunakan nama mereka sendiri. CRPx0 bahkan memasarkan model pembagian keuntungan 100 persen yang memungkinkan pembeli mempertahankan seluruh keuntungan.

Tidak berhenti di situ, kelompok tersebut juga menawarkan Hacking-as-a-Service (HaaS) yang mencakup layanan pembobolan data, kompromi jaringan, dan berbagai aktivitas untuk mengganggu perusahaan. CRPx0 juga diketahui menggunakan perintah ClickFix dalam halaman CAPTCHA palsu dan menjalankan pencurian mata uang kripto melalui payload clipper.

Akira Gagal Mengenkripsi Data, tetapi Korban Tetap Terancam

Kelompok lain, Akira, diperkirakan hanya mengklaim 22 korban sepanjang Juli 2026. Namun, jumlah tersebut tidak berarti ancamannya kecil. Akira terus menggunakan teknik pengelakan keamanan untuk menghindari deteksi.

Dalam salah satu insiden yang diungkap Huntress, afiliasi Akira mendapatkan akses awal melalui VPN SonicWall. Setelah itu, penyerang me-reboot komputer korban ke Safe Mode with Networking untuk mengganggu perangkat keamanan yang berjalan di sistem.

Strategi tersebut ternyata justru menjadi bumerang bagi penyerang. Dalam lingkungan Safe Mode dengan sumber daya yang lebih terbatas, proses ransomware Akira mengalami kegagalan karena kehabisan virtual memory beberapa detik setelah dijalankan. Akibatnya, ransomware tidak berhasil mengenkripsi data.

Namun, kerusakan yang ditimbulkan tetap serius. Sebelum ransomware gagal berjalan, penyerang telah mencuri kredensial dan mengakses file sharing korban. Artinya, penyerang masih memiliki bahan untuk melakukan pemerasan meskipun proses enkripsi tidak berhasil. Mereka cukup mengancam akan membocorkan informasi yang telah dicuri.

Rata-Rata Tebusan Melonjak 176 Persen

Besarnya potensi keuntungan membuat ransomware tetap menjadi bisnis kriminal yang menarik. Analisis Coveware terhadap ancaman ransomware pada kuartal II 2026 menunjukkan rata-rata pembayaran tebusan melonjak 176 persen.

Pada kuartal I, rata-rata pembayaran berada di angka US$680.081. Angka tersebut kemudian meningkat menjadi US$1.880.612 pada kuartal II. Namun, median pembayaran justru turun 50 persen menjadi US$150.000. Perbedaan besar antara rata-rata dan median tersebut menunjukkan adanya sejumlah pembayaran dengan nilai yang sangat tinggi.

Menurut Coveware, pembayaran besar tersebut terutama berasal dari kasus pemerasan yang melibatkan pencurian data, bukan hanya enkripsi file. Salah satu faktor yang mendorong kenaikan tersebut adalah kampanye Silent Ransom, yang juga dikenal sebagai Luna Moth, terhadap sejumlah firma hukum besar.

Ransomware Tak Lagi Sekadar Mengenkripsi File

Rangkaian perkembangan tersebut memperlihatkan bagaimana ancaman ransomware telah berubah secara signifikan. Serangan ransomware modern tidak lagi hanya mengandalkan enkripsi file untuk memaksa korban membayar tebusan.

Pelaku kini menggabungkan berbagai teknik, mulai dari phishing, pencurian kredensial, pengintaian jaringan, peningkatan hak akses, pencurian data, penyalahgunaan layanan cloud, hingga pemanfaatan perangkat administrasi yang sebenarnya sah.

Bahkan, muncul modus baru seperti Ransom Busters yang mengaku sebagai pihak yang dapat menyelamatkan korban dari kelompok ransomware lain.

Namun, temuan GuidePoint menunjukkan bahwa korban tidak boleh langsung mempercayai tawaran semacam itu. Di tengah ekosistem ransomware yang semakin kompleks, data yang telah dicuri tidak dapat dianggap aman hanya karena seseorang mengaku mampu menghapusnya. Pembayaran juga bukan jaminan bahwa data akan benar-benar dihapus atau akses penyerang akan sepenuhnya dihentikan.

Bagi organisasi, perkembangan ini mempertegas pentingnya pertahanan berlapis, pemantauan jaringan, perlindungan identitas dan kredensial, pencadangan yang aman, serta kemampuan merespons insiden dengan cepat.

Sebab, ketika ransomware berhasil masuk, ancaman tidak selalu berhenti pada layar komputer yang terkunci. Data yang dicuri dapat menjadi alat pemerasan, sementara pihak lain dapat kembali memanfaatkan kepanikan korban untuk mendapatkan keuntungan.

Dengan semakin banyaknya kelompok ransomware dan model bisnis kriminal yang bermunculan, perusahaan kini menghadapi ekosistem ancaman yang semakin terorganisasi, terfragmentasi, sekaligus sulit diprediksi.