Pengantar

Ancaman ransomware terus berkembang dari tahun ke tahun. Jika sebelumnya pelaku ransomware hanya fokus mengenkripsi data korban, kini mereka juga berusaha menonaktifkan sistem keamanan terlebih dahulu agar serangan dapat berjalan tanpa hambatan. Salah satu kelompok ransomware yang menarik perhatian para peneliti keamanan adalah The Gentlemen Ransomware, yang diketahui menggunakan berbagai alat khusus untuk mematikan solusi keamanan seperti antivirus dan Endpoint Detection and Response (EDR).

Strategi ini membuat serangan menjadi lebih berbahaya karena organisasi kehilangan kemampuan untuk mendeteksi aktivitas penyerang sebelum proses enkripsi dimulai.

Mengenal The Gentlemen Ransomware

The Gentlemen merupakan kelompok ransomware yang beroperasi menggunakan model Ransomware-as-a-Service (RaaS). Dalam model ini, pengembang ransomware menyediakan platform dan alat serangan kepada afiliasi yang kemudian digunakan untuk menyerang target.

Kelompok ini dilaporkan aktif menyerang berbagai sektor industri dan terus mengembangkan teknik serangannya. Salah satu kemampuan yang membuat mereka menonjol adalah penggunaan berbagai alat untuk menonaktifkan sistem keamanan sebelum mengenkripsi data korban.

Apa Itu EDR Killer?

EDR Killer adalah perangkat lunak atau alat yang dirancang untuk menghentikan, menonaktifkan, atau menghapus solusi keamanan yang berjalan pada sebuah sistem.

EDR sendiri merupakan teknologi keamanan yang berfungsi memantau aktivitas endpoint seperti komputer, laptop, maupun server untuk mendeteksi ancaman siber secara real-time.

Jika EDR berhasil dimatikan, maka pelaku ransomware dapat bergerak lebih leluasa di dalam jaringan tanpa terdeteksi. Karena alasan inilah banyak kelompok ransomware modern menggunakan EDR Killer sebagai bagian dari rantai serangan mereka.

Teknik Penghindaran Deteksi yang Digunakan

Menonaktifkan Antivirus dan EDR

Sebelum mengenkripsi file korban, operator The Gentlemen berusaha menghentikan berbagai layanan keamanan yang aktif di sistem target. Mereka menggunakan alat khusus untuk menghentikan proses antivirus maupun EDR yang sedang berjalan.

Dengan cara ini, peluang aktivitas mereka terdeteksi menjadi jauh lebih kecil.

Menghapus Jejak Aktivitas

Selain mematikan sistem keamanan, para pelaku juga berusaha menghapus bukti aktivitas mereka.

Salah satu teknik yang sering digunakan adalah menghapus Windows Event Logs, yaitu catatan aktivitas sistem yang biasanya digunakan oleh administrator maupun tim forensik untuk melakukan investigasi.

Jika log berhasil dihapus, proses analisis insiden menjadi lebih sulit dilakukan.

Penyalahgunaan PowerShell

PowerShell juga menjadi alat favorit para pelaku serangan. Melalui PowerShell, mereka dapat:

• Menonaktifkan Microsoft Defender
• Menambahkan folder tertentu ke daftar pengecualian antivirus
• Menjalankan skrip berbahaya tanpa perlu menginstal perangkat lunak tambahan

Teknik ini sering disebut sebagai Living Off The Land, yaitu memanfaatkan fitur bawaan sistem operasi untuk melakukan aktivitas berbahaya.

Beragam EDR Killer yang Digunakan

GentKiller

Salah satu alat yang dikaitkan dengan kelompok The Gentlemen adalah GentKiller, sebuah tool yang dirancang untuk menghentikan berbagai produk keamanan yang umum digunakan perusahaan.

Tool ini membantu pelaku mengurangi kemampuan deteksi sebelum proses enkripsi dilakukan.

Teknik BYOVD

The Gentlemen juga memanfaatkan teknik yang dikenal sebagai Bring Your Own Vulnerable Driver (BYOVD).

Dalam teknik ini, pelaku menggunakan driver yang memiliki kerentanan namun tetap ditandatangani secara sah oleh vendor. Driver tersebut kemudian dimanfaatkan untuk memperoleh akses tingkat kernel sehingga mampu menonaktifkan komponen keamanan yang biasanya sulit dihentikan.

Teknik BYOVD semakin populer di kalangan kelompok ransomware karena sangat efektif dalam melewati mekanisme perlindungan modern.

Evolusi Alat EDR Killer

Penggunaan EDR Killer bukan lagi sesuatu yang unik. Banyak kelompok ransomware lain juga mengembangkan atau berbagi alat serupa.

Hal ini menunjukkan bahwa ekosistem ransomware terus berkembang dan para pelaku saling belajar untuk meningkatkan efektivitas serangan mereka.

Bagaimana Rantai Serangan The Gentlemen?

1. Initial Access

Tahap pertama adalah memperoleh akses ke jaringan korban.

Beberapa metode yang sering digunakan antara lain:

• Kredensial yang dicuri
• Password lemah
• Celah keamanan pada VPN
• Kerentanan pada perangkat edge seperti firewall

2. Privilege Escalation

Setelah berhasil masuk, pelaku akan berusaha meningkatkan hak akses agar memperoleh kontrol yang lebih besar terhadap sistem.

Mereka dapat menggunakan akun administrator yang dicuri atau mengeksploitasi kerentanan tertentu untuk mendapatkan hak istimewa yang lebih tinggi.

3. Defense Evasion

Tahap ini menjadi salah satu kekuatan utama The Gentlemen.

Mereka akan:

• Menonaktifkan antivirus
• Menonaktifkan EDR
• Menghapus log
• Memodifikasi konfigurasi keamanan

Tujuannya adalah menghilangkan kemampuan organisasi untuk mendeteksi aktivitas berbahaya.

4. Encryption dan Pemerasan

Setelah sistem keamanan berhasil dilemahkan, ransomware mulai mengenkripsi file korban.

Selain mengenkripsi data, pelaku juga sering mencuri informasi sensitif terlebih dahulu. Jika korban tidak membayar tebusan, data tersebut dapat dipublikasikan ke internet.

Teknik ini dikenal sebagai double extortion.

Dampak bagi Organisasi

Serangan seperti yang dilakukan The Gentlemen dapat menimbulkan berbagai dampak serius, antara lain:

• Gangguan operasional bisnis
• Kehilangan akses terhadap data penting
• Kebocoran data sensitif
• Kerugian finansial
• Penurunan reputasi perusahaan

Yang lebih berbahaya, ketika EDR berhasil dimatikan, tim keamanan dapat kehilangan visibilitas terhadap aktivitas penyerang sehingga proses respons insiden menjadi lebih sulit.

Indikator yang Perlu Diwaspadai

Tim keamanan perlu memperhatikan beberapa aktivitas mencurigakan berikut:

• Penghapusan Windows Event Logs
• Aktivitas PowerShell yang tidak biasa
• Munculnya Scheduled Task yang tidak dikenal
• Perubahan konfigurasi Microsoft Defender
• Driver yang tidak biasa terinstal pada sistem
• Aktivitas penghentian layanan keamanan secara massal

Deteksi dini terhadap aktivitas tersebut dapat membantu mencegah serangan berkembang lebih jauh.

Cara Melindungi Organisasi

Aktifkan Perlindungan Tambahan

Gunakan fitur seperti:

• Tamper Protection
• Application Control
• Privileged Access Management

Fitur-fitur ini dapat membantu mencegah penyerang mematikan solusi keamanan.

Terapkan Patch Management

Pastikan seluruh sistem selalu diperbarui, terutama:

• VPN
• Firewall
• Server
• Endpoint

Banyak serangan ransomware berhasil karena memanfaatkan kerentanan yang sebenarnya sudah memiliki patch.

Monitoring dan Threat Hunting

Lakukan pemantauan secara aktif terhadap:

• Aktivitas PowerShell
• Perubahan konfigurasi keamanan
• Instalasi driver baru
• Aktivitas administrator yang tidak biasa

Siapkan Backup yang Aman

Backup tetap menjadi pertahanan terakhir yang sangat penting.

Simpan salinan data secara:

• Offline
• Immutable
• Terpisah dari jaringan utama

Dengan demikian organisasi dapat memulihkan data tanpa harus membayar tebusan.

Kesimpulan

The Gentlemen Ransomware menunjukkan bagaimana kelompok ransomware modern tidak lagi hanya mengandalkan proses enkripsi data. Mereka kini menggunakan berbagai teknik canggih untuk melumpuhkan sistem keamanan terlebih dahulu, termasuk memanfaatkan EDR Killer dan metode BYOVD.

Perkembangan ini menjadi pengingat bahwa organisasi perlu menerapkan strategi keamanan berlapis, melakukan patch secara rutin, memantau aktivitas mencurigakan, serta memiliki mekanisme backup yang kuat. Dengan pendekatan tersebut, risiko serangan ransomware dapat dikurangi secara signifikan meskipun ancaman terus berkembang.