Perilaku Ransomware pada Endpoint Windows: Sebuah Analisis

Meningkatnya ransomware telah mengubah endpoint Windows menjadi medan pertempuran utama bagi para penjahat dunia maya. Insiden terkenal seperti gangguan Colonial Pipeline dan serangan Irish Health Service Executive (HSE) menggambarkan bagaimana ransomware dapat melumpuhkan infrastruktur kritis dan layanan publik. Meskipun banyak perhatian difokuskan pada tahap enkripsi dan pemerasan, dimensi yang kurang dieksplorasi namun krusial adalah eksploitasi panggilan Application Programming Interface (API) yang asli dari sistem operasi Windows. Ringkasan ini menyintesis pemeriksaan studi tentang perilaku ransomware pada endpoint Windows, termasuk mekanisme intrusi, metode proliferasi, dan strategi mitigasi. Makalah ini berpendapat bahwa memahami bagaimana keluarga ransomware memanggil dan memanipulasi API Windows dapat mengungkap tanda tangan operasional, meningkatkan deteksi, dan menginformasikan pertahanan endpoint yang lebih kuat. Masalah utamanya bukan sekadar bahwa ransomware mengenkripsi file, tetapi bahwa ia menyalahgunakan antarmuka sistem yang tepercaya untuk mengenkripsi data, berinteraksi dengan sistem file, mempertahankan persistensi, berkomunikasi melalui jaringan, dan menghindari deteksi.

Studi ini mengadopsi analisis komparatif urutan panggilan API di lingkungan Windows yang jinak dan yang terinfeksi ransomware. Inti metodologisnya adalah pengamatan bahwa aplikasi jinak dan ransomware sama-sama memanggil API Windows, tetapi urutan, frekuensi, dan kombinasi panggilan berbeda. Penulis berfokus pada fungsi API spesifik: `CryptEncrypt` di Cryptography API untuk enkripsi, dan `CreateFile` serta `WriteFile` di File API untuk interaksi sistem file. Mereka juga menggunakan contoh dunia nyata dari insiden Colonial Pipeline dan Irish Health Service Executive, antara lain, untuk menunjukkan bagaimana panggilan API ini dimanipulasi selama serangan sebenarnya. Keluarga ransomware seperti DarkSide dan Conti menggunakan API Windows tidak hanya untuk enkripsi utama dan manipulasi file, tetapi juga untuk komunikasi jaringan, persistensi, dan menggagalkan deteksi. Secara metodologis, urutan panggilan API dapat direpresentasikan sebagai jejak terurut:

, di mana setiap $a_i$ adalah pemanggilan API Windows. Analisis komparatif kemudian mencari perbedaan antara urutan jinak $S_b$ dan urutan ransomware $S_r$, misalnya melalui penyelarasan urutan, pembuatan profil frekuensi, atau heuristik perilaku. Alur ilustratif berikut merangkum tahap perilaku yang dibahas dalam sumber: