Jakarta, Satuju.com - Serangan ransomware baru bernama ShrinkLocker telah ditemukan peneliti keamanan siber (cybersecurity).

Ransomware adalah kategori program jahat (malware) yang mengunci data di komputer dengan enkripsi, lalu berusaha mengekstraksi korban dengan meminta tebusan. 

Ransomware ini dinamai ShrinkLocker oleh perusahaan antivirus Kaspersky karena menyoroti prosedur mengubah ukuran partisi (bagian dari media penyimpanan hard drive), yang penting bagi penyerang untuk memastikan sistem melakukan booting (proses menyalakan komputer) dengan benar diikuti file yang terenkripsi.

Adapun ShrinkLocker diketahui telah menyerang perusahaan di bidang manufaktur baja, vaksin, serta entitas pemerintahan. Negara yang terdampak meliputi Indonesia, Meksiko, dan Yordania.

Secara rinci, pelaku ancaman diketahui menggunakan bahasa pemrograman VBScript. Bahasa ini digunakan untuk melakukan otomatisasi tugas-tugas pada komputer Windows, dan membuat skrip (script) berbahaya dengan fitur yang belum pernah dilaporkan untuk memaksimalkan kerusakan. 

Skrip ini dapat memeriksa versi Windows di komputer, dan mengaktifkan fitur BitLocker yang sesuai. BitLocker sendiri adalah fitur keamanan Windows yang menyediakan enkripsi partisi dalam sebuah hard drive. 

Dengan metode ini, skrip ini diyakini dapat menginfeksi sistem operasi (OS) baru dan lama hingga Windows Server 2008. Jika versi OS cocok untuk serangan tersebut, skrip akan mengubah pengaturan booting komputer dan mencoba mengenkripsi seluruh drive menggunakan BitLocker.

Skrip ini akan membuat partisi baru, yang menyiapkan bagian drive komputer terpisah berisi file untuk mem-boot sistem operasi. 

Hal ini bertujuan untuk mengurung korban pada tahap berikutnya. Penyerang juga menghapus pelindung BitLocker, sehingga pengguna tidak memiliki opsi untuk memulihkan kunci enkripsi BitLocker. 

Satu-satunya pihak yang memegang kunci BitLocker adalah penyerang itu sendiri, yang diperoleh melalui alat TryCloudflare.

 Alat ini digunakan developer untuk menguji coba terowongan (tunnel) layanan infrastruktur internet Cloudflare, tanpa harus menambahkan situs ke Domain Name System (DNS) Cloudflare. 

Tahap berikutnya, skrip berbahaya akan mengirimkan informasi tentang sistem dan kunci enkripsi komputer menuju server penyerang. 

Penyerang ini kemudian menutupi jejaknya dengan menghapus log dan berbagai file yang dinilai bisa digunakan untuk melacak dirinya. 

Terakhir, malware pun akan melakukan penutupan paksa sistem pengguna, yang dimungkinkan oleh file instalasi di partisi terpisah yang sudah dijelaskan sebelumnya.