Ada dua jenis umum ransomware. Jenis yang paling umum, yang disebut ransomware enkripsi atau ransomware kripto, menyandera data korban dengan mengenkripsinya. Penyerang kemudian meminta uang tebusan sebagai imbalan untuk memberikan kunci enkripsi yang diperlukan untuk mendekripsi data.

Bentuk ransomware yang kurang umum, yang disebut ransomware non-pengenkripsi atau ransomware peng uncian layar, mengunci seluruh perangkat korban, biasanya dengan memblokir akses ke sistem operasi. Alih-alih memulai seperti biasa, perangkat menampilkan layar yang menampilkan permintaan tebusan.

Kedua jenis ini dapat dibagi lagi menjadi subkategori ini:

• Leakware/Doxware adalah ransomware yang mencuri, atau menyusup, data sensitif dan mengancam untuk mempublikasikannya. Sementara bentuk-bentuk sebelumnya dari leakware atau doxware sering kali mencuri data tanpa mengenkripsinya, varian yang ada saat ini sering kali melakukan keduanya.
  
  
• Ransomware seluler mencakup semua ransomware yang memengaruhi perangkat seluler. Disebarkan melalui aplikasi berbahaya atau unduhan drive-by, ransomware seluler biasanya merupakan ransomware yang tidak mengenkripsi karena pencadangan data cloud otomatis, yang merupakan standar pada banyak perangkat seluler, memudahkan untuk membalikkan serangan enkripsi.
  
  
• Ransomware penghapus/ransomware perusak mengancam untuk menghancurkan data jika tebusannya tidak dibayarkan-kecuali pada kasus-kasus di mana ransomware menghancurkan data meskipun tebusannya dibayarkan. Jenis penghapus yang terakhir ini sering dicurigai dikerahkan oleh aktor negara atau aktivis daripada penjahat siber biasa.
  
  
• Scarewareadalah seperti apa kedengarannya—ransomware yang mencoba menakut-nakuti pengguna agar membayar uang tebusan. Scareware mungkin muncul sebagai pesan dari lembaga penegak hukum, yang menuduh korban melakukan kejahatan dan menuntut denda. Atau, mungkin memalsukan peringatan infeksi virus yang sah, mendorong korban untuk membeli perangkat lunak antivirus atau antimalware. Terkadang, scareware adalah ransomware, yang mengenkripsi data atau mengunci perangkat; dalam kasus lain, ini adalah vektor ransomware, mengenkripsi apa pun selain memaksa korban untuk mengunduh ransomware.

Serangan Ransomware dapat menggunakan beberapa metode, atau vektor, untuk menginfeksi sebuah jaringan atau perangkat. Beberapa vektor infeksi ransomware yang paling menonjol termasuk:

• Email phishing dan serangan rekayasa sosial lainnya: Email phishing memanipulasi pengguna untuk mengunduh dan menjalankan lampiran berbahaya. Lampiran ini mungkin berisi ransomware yang disamarkan sebagai .pdf, dokumen Microsoft Word, atau file lainnya yang tampak tidak berbahaya. Mereka juga dapat menarik minat pengguna untuk mengunjungi situs web berbahaya yang melewati ransomware melalui browser web pengguna. Dalam Studi Organisasi Tangguh SiberIBM 2021, phishing dan taktik rekayasa sosial lainnya menyebabkan 45 persen dari semua serangan ransomware yang dilaporkan oleh peserta survei, menjadikannya sebagai vektor serangan ransomware yang paling umum.
  
  
• Kerentanan sistem operasi dan perangkat lunak: Penjahat siber sering kali mengeksploitasi kerentanan yang ada untuk menyuntikkan kode berbahaya ke dalam perangkat atau jaringan. Kerentanan zero-day, yang merupakan kerentanan yang tidak diketahui oleh komunitas keamanan atau teridentifikasi tetapi belum ditambal, menimbulkan ancaman tertentu. Beberapa geng ransomware membeli informasi tentang kelemahan zero-day dari peretas lain untuk merencanakan serangan mereka. Peretas juga secara efektif menggunakan kerentanan yang telah ditambal sebagai vektor serangan, seperti yang terjadi pada serangan WannaCry tahun 2017.
  

• Pencurian kredensial: Penjahat siber dapat mencuri kredensial pengguna yang sah, membelinya di web gelap, atau membobolnya dengan kekerasan. Mereka kemudian dapat menggunakan kredensial ini untuk masuk ke jaringan atau komputer dan menyebarkan ransomware secara langsung. Protokol desktop jarak jauh (RDP), sebuah protokol eksklusif yang dikembangkan oleh Microsoft untuk memungkinkan pengguna mengakses komputer dari jarak jauh, merupakan target pencurian kredensial yang populer di antara para penyerang ransomware.
  
  
• Malware lain: Peretas sering kali menggunakan malware yang dikembangkan untuk serangan lain untuk mengirimkan ransomware ke sebuah perangkat. Trojan Trickbot, misalnya, yang awalnya dirancang untuk mencuri kredensial perbankan, digunakan untuk menyebarkan varian ransomware Conti sepanjang tahun 2021.
  
  
• Unduhan drive-by (tak sengaja): Peretas dapat menggunakan situs web untuk menyebarkan ransomware ke perangkat tanpa sepengetahuan pengguna. Kit eksploitasi menggunakan situs web yang disusupi untuk memindai peramban pengunjung untuk mencari kerentanan aplikasi web yang dapat digunakan untuk menyuntikkan ransomware ke dalam perangkat. Malvertising—iklan digital tidak sah yang telah disusupi oleh peretas—dapat meneruskan ransomware ke perangkat, meskipun pengguna tidak mengklik iklan tersebut.

Penjahat siber tidak perlu mengembangkan ransomware mereka sendiri untuk mengeksploitasi vektor ini. Beberapa pengembang ransomware membagikan kode malware mereka dengan penjahat siber melalui pengaturan ransomware-as-a-service (RaaS ). Penjahat siber, atau 'afiliasi,' menggunakan kode untuk melakukan serangan, dan kemudian membagi pembayaran tebusan dengan pengembang. Ini adalah hubungan yang saling menguntungkan: Afiliasi bisa mendapatkan keuntungan dari pemerasan tanpa harus mengembangkan malware mereka sendiri, dan pengembang bisa meningkatkan keuntungan mereka tanpa harus meluncurkan serangan siber tambahan.

Distributor ransomware dapat menjual ransomware melalui pasar digital, atau merekrut afiliasi secara langsung melalui forum online atau jalan serupa. Kelompok ransomware besar telah menginvestasikan sejumlah besar uang untuk menarik afiliasi. 

Sejak tahun 2020, para peneliti keamanan siber telah mengidentifikasi lebih dari 130 keluarga atau varian ransomware yang berbeda dan aktif - jenis-jenis ransomware yang unik dengan tanda tangan kode dan fungsinya masing-masing. 

Selama bertahun-tahun, banyak varian ransomware telah beredar. Beberapa jenis terutama terkenal karena tingkat kehancurannya, bagaimana mereka memengaruhi perkembangan ransomware, atau ancaman yang masih mereka timbulkan saat ini.
 

CryptoLocker

Pertama kali muncul pada bulan September 2013, CryptoLocker secara luas dikreditkan dengan memulai era modern ransomware. Menyebar menggunakan botnet (jaringan komputer yang dibajak), CryptoLocker adalah salah satu keluarga ransomware pertama yang mengenkripsi file pengguna dengan kuat. Ini memeras sekitar USD 3 juta sebelum upaya penegakan hukum internasional menutupnya pada tahun 2014. Keberhasilan CryptoLocker melahirkan banyak peniru dan membuka jalan bagi varian seperti WannaCry, Ryuk dan Petya.
 

WannaCry

Cryptoworm—ransomware profil tinggi pertama yang dapat menyebarkan dirinya sendiri ke perangkat lain di jaringan. WannaCry menyerang lebih dari 200.000 komputer di 150 negara. Komputer yang terkena dampaknya rentan karena administrator lalai menambal kerentanan Microsoft Windows EternalBlue. Selain mengenkripsi data sensitif, ransomware WannaCry mengancam untuk menghapus file jika pembayaran tidak diterima dalam waktu tujuh hari. Ini tetap menjadi salah satu serangan ransomware terbesar hingga saat ini, dengan perkiraan biaya mencapai USD 4 miliar.
 

Petya dan NotPetya

Tidak seperti ransomware kripto lainnya, Petya mengenkripsi tabel sistem file dan bukan file individual, sehingga komputer yang terinfeksi tidak dapat mem-boot Windows. Versi yang sangat dimodifikasi, NotPetya, digunakan untuk melakukan serangan siber berskala besar, terutama terhadap Ukraina, pada tahun 2017. NotPetya adalah penghapus yang tidak mampu membuka kunci sistem bahkan setelah uang tebusan dibayarkan.
 

Ryuk

Pertama kali terlihat pada tahun 2018, Ryuk mempopulerkan serangan 'ransomware game besar' terhadap target bernilai tinggi tertentu, dengan permintaan tebusan rata-rata lebih dari USD 1 juta. Ryuk dapat menemukan dan menonaktifkan file cadangan dan fitur pemulihan sistem; Strain baru dengan kemampuan cryptoworm ditemukan pada tahun 2021.
 

DarkSide

Dijalankan oleh kelompok yang diduga beroperasi dari Rusia, DarkSide adalah varian ransomware yang menyerang Pipa Kolonial A.S. pada 7 Mei 2021. Varian ini dianggap sebagai serangan siber terburuk pada infrastruktur penting AS hingga saat ini. Akibatnya, pipa yang memasok 45 persen bahan bakar di Pantai Timur AS ditutup untuk sementara waktu. Selain meluncurkan serangan langsung, kelompok DarkSide juga melisensikan ransomware kepada afiliasinya melalui pengaturan RaaS.
 

Locky

Locky adalah ransomware yang mengenkripsi dengan metode infeksi yang berbeda-ia menggunakan makro yang tersembunyi di lampiran email (file Microsoft Word) yang menyamar sebagai faktur yang sah. Ketika pengguna mengunduh dan membuka dokumen Microsoft Word, makro berbahaya secara diam-diam mengunduh muatan ransomware ke perangkat pengguna.
 

Revil/Sodinokibi

REvil, juga dikenal sebagai Sodin atau Sodinokibi, membantu mempopulerkan pendekatan RaaS untuk distribusi ransomware. Dikenal untuk digunakan dalam perburuan permainan besar dan serangan pemerasan ganda, REvil berada di balik serangan tahun 2021 terhadap JBS USA dan Kaseya Limited yang patut dicatat. JBS membayar uang tebusan sebesar USD 11 juta setelah seluruh operasi pengolahan daging sapi di AS terganggu, dan lebih dari 1.000 pelanggan perangkat lunak Kaseya terkena dampak waktu henti yang signifikan. Dinas Keamanan Federal Rusia melaporkan bahwa mereka telah membubarkan REvil dan mendakwa beberapa anggotanya pada awal tahun 2022.

Hingga 2022, sebagian besar korban ransomware memenuhi tuntutan tebusan penyerang mereka. Misalnya, dalam IBM Cyber Resilient Organization Study 2021, 61 persen perusahaan yang berpartisipasi yang mengalami serangan ransomware dalam waktu dua tahun penelitian mengatakan mereka membayar uang tebusan.

Namun laporan terbaru menandakan adanya perubahan pada tahun 2022. Perusahaan penanggulangan insiden pemerasan siber Coveware merilis temuan bahwa hanya 41 persen dari korban ransomware tahun 2022 yang membayar tebusan, dibandingkan dengan 51 persen pada tahun 2021 dan 70 persen pada tahun 2020 (tautan berada di luar ibm.com). Dan Chainanalysis, penyedia platform data blockchain, melaporkan bahwa penyerang ransomware memeras hampir 40% lebih sedikit uang dari para korban di tahun 2022 dibandingkan dengan tahun 2021 (tautan berada di luar ibm.com). Para pakar menunjukkan kesiapan kejahatan siber yang lebih baik (termasuk pencadangan data) dan peningkatan investasi dalam teknologi pencegahan dan pendeteksian ancaman sebagai pendorong potensial di balik pembalikan ini.
 

Panduan penegakan hukum

Badan penegak hukum federal AS dengan suara bulat mencegah para korban ransomware untuk membayar tuntutan tebusan. Menurut National Cyber Investigative Joint Task Force (NCIJTF), sebuah koalisi yang terdiri dari 20 agen federal AS yang bermitra yang bertugas menyelidiki ancaman siber:

“FBI tidak mendorong membayar uang tebusan kepada aktor kriminal. Membayar uang tebusan dapat mendorong pihak lawan untuk menargetkan organisasi lain, mendorong pelaku kriminal lain untuk terlibat dalam distribusi ransomware, dan/atau mendanai aktivitas terlarang. Membayar uang tebusan juga tidak menjamin bahwa file korban akan dipulihkan.”

Lembaga penegak hukum menyarankan agar korban ransomware melaporkan serangan kepada pihak berwenang yang tepat, seperti Pusat Pengaduan Kejahatan Internet FBI (IC3), sebelum membayar uang tebusan. Beberapa korban serangan ransomware mungkin diwajibkan secara hukum untuk melaporkan infeksi ransomware terlepas dari apakah uang tebusan dibayarkan. Sebagai contoh, kepatuhan HIPAA umumnya mengharuskan entitas perawatan kesehatan untuk melaporkan pelanggaran data apa pun, termasuk serangan ransomware, kepada Departemen Kesehatan dan Layanan Kemanusiaan.

Dalam kondisi tertentu, membayar uang tebusan bisa jadi ilegal. Penasihat tahun 2020 dari Kantor Kontrol Aset Asing (OFAC) Departemen Keuangan AS menyoroti hal ini. Peraturan ini menyatakan bahwa membayar uang tebusan kepada penyerang dari negara-negara yang terkena sanksi ekonomi AS—seperti Rusia, Korea Utara, atau Iran—adalah pelanggaran terhadap peraturan OFAC. Pelanggar dapat menghadapi hukuman perdata, denda atau tuntutan pidana.

Untuk mempertahankan diri dari ancaman ransomware, sejumlah badan federal seperti CISA, NCIJFT, dan Dinas Rahasia A.S. merekomendasikan organisasi untuk mengambil tindakan pencegahan tertentu, seperti:

• Mempertahankan cadangan data sensitif dan gambar sistem, idealnya pada hard drive atau perangkat lain yang dapat terputus dari jaringan.
  
  
• Menerapkan patch/tambalan secara teratur untuk membantu menggagalkan serangan ransomware yang mengeksploitasi kerentanan perangkat lunak dan sistem operasi.
  
  
• Memperbarui alat keamanan siber termasuk perangkat lunak anti-malware dan antivirus, firewall, alat pemantauan jaringan, dan gerbang web yang aman. Selain itu, menggunakan solusi keamanan siber perusahaan seperti orkestrasi keamanan, otomatisasi dan respons (SOAR), deteksi dan respons titik akhir (EDR), informasi keamanan dan manajemen peristiwa (SIEM), serta deteksi dan respons yang diperluas (XDR). Solusi-solusi ini membantu tim keamanan mendeteksi dan merespons ransomware secara real-time.
  
  
• Pelatihan keamanan siber bagi karyawan untuk membantu pengguna mengenali dan menghindari phishing, rekayasa sosial, dan taktik lain yang dapat menyebabkan infeksi ransomware .
  
  
• Menerapkan kebijakan kontrol akses termasuk autentikasi multifaktor, arsitektur zero trust, segmentasi jaringan, dan langkah-langkah serupa. Langkah-langkah ini dapat mencegah ransomware menjangkau data yang sangat sensitif, dan mencegah cryptoworm menyebar ke perangkat lain di jaringan.

Meskipun alat dekripsi untuk beberapa varian ransomware tersedia untuk umum melalui proyek-proyek seperti No More Ransom (tautan berada di luar ibm.com), remediasi infeksi ransomware aktif sering kali membutuhkan pendekatan yang beragam. Lihat Panduan Definitif IBM Security untuk Ransomware untuk contoh rencana tanggap insiden ransomware yang dimodelkan berdasarkan Siklus Hidup Tanggap Insiden National Institute of Standards and Technology (NIST).

1989: Serangan ransomware pertama yang didokumentasikan, dikenal sebagai AIDS Trojan atau "P.C. Serangan Cyborg," didistribusikan melalui floppy disk. Mereka menyembunyikan direktori file di komputer korban dan menuntut USD 189 untuk menampilkannya. Tetapi karena dia mengenkripsi nama file dan bukannya file itu sendiri, maka mudah bagi pengguna untuk membalikkan kerusakan tanpa membayar uang tebusan.

1996: Saat menganalisis kelemahan virus AIDS Trojan, ilmuwan komputer Adam L. Young dan Moti Yung memperingatkan bentuk malware di masa depan. Mereka mengatakan bahwa malware masa depan dapat menggunakan kriptografi kunci publik yang lebih canggih untuk menyandera data sensitif. 

2005: Setelah serangan ransomware yang relatif sedikit di awal tahun 2000-an, peningkatan infeksi dimulai, berpusat di Rusia dan Eropa Timur. Varian pertama yang menggunakan enkripsi asimetris muncul. Karena ransomware baru menawarkan cara yang lebih efektif untuk memeras uang, semakin banyak penjahat siber yang mulai menyebarkan ransomware ke seluruh dunia.

2009: Pengenalan cryptocurrency, khususnya Bitcoin, memberi penjahat dunia maya cara untuk menerima pembayaran tebusan yang tidak dapat dilacak, mendorong lonjakan berikutnya dalam aktivitas ransomware.

2013: Era modern ransomware dimulai dengan CryptoLocker yang meresmikan gelombang serangan ransomware berbasis enkripsi yang sangat canggih yang meminta pembayaran dalam mata uang kripto.

2015: Varian ransomware Tox memperkenalkan model ransomware-as-a-service (RaaS).

2017: WannaCry, cacing siber pertama yang mereplikasi diri secara luas, muncul.

2018: Ryuk mempopulerkan perburuan ransomware hewan buruan besar.

2019: Serangan ransomware pemerasan ganda dan tiga kali mulai meningkat. Hampir setiap insiden ransomware yang ditanggapi oleh tim IBM Security X-Force Incident Reponse sejak 2019 telah melibatkan pemerasan ganda.

2022: Pembajakan utas - di mana penjahat siber menyisipkan diri mereka ke dalam percakapan online target - muncul sebagai vektor ransomware yang menonjol.