Ransom Busters Klaim Bobol Server Ransomware, Minta Tebusan Hingga $60.000

Ransom Busters, sebuah kelompok yang mengaku sebagai afiliasi ransomware, mengklaim telah berhasil membobol server milik kelompok ransomware dan secara aktif mengirim email kepada korban yang terdampak. Mereka menawarkan bantuan untuk menghapus data curian dari server ransomware tersebut dengan imbalan bayaran yang berkisar antara $20.000 hingga $60.000.

Penawaran Tidak Biasa dari Ransom Busters

Menurut laporan yang dibagikan GuidePoint Research and Intelligence Team (GRIT) kepada The Hacker News, tindakan Ransom Busters ini langsung terlihat aneh. Biasanya, perusahaan keamanan siber menawarkan layanan konsultasi atau pemulihan hanya setelah serangan diketahui publik, bukan secara proaktif mendekati korban.

"Dalam pesan-pesan ini, pihak ketiga menawarkan bantuan untuk pemulihan dari serangan ransomware. Ini langsung menonjol sebagai sesuatu yang tidak biasa," ujar GRIT.

Kelompok ini diduga merupakan afiliasi yang bekerja sama dengan berbagai operasi ransomware-as-a-service (RaaS). Mereka mengklaim telah menemukan celah keamanan pada panel administrasi yang dikelola oleh kelompok RaaS dan mengakses server mereka selama lebih dari tiga tahun.

Modus Operandi dan Tuntutan Tebusan

Dalam email yang dikirimkan kepada korban, Ransom Busters meminta untuk dapat berkomunikasi langsung dengan CEO atau pimpinan TI perusahaan. Mereka mengaku menemukan data yang dicuri dari korban tersimpan di server yang mereka akses, dan meminta pembayaran antara $20.000 sampai $60.000 agar dapat membantu mengembalikan akses data dan menghapus semua cadangan yang dimiliki oleh kelompok ransomware.

GRIT mencatat modus operasi Ransom Busters serupa dengan insiden yang melibatkan kelompok ransomware DragonForce, Settra, dan Anubis. Namun, kemungkinan kelompok ini adalah organisasi sah sangat kecil karena tindakan mereka melanggar U.S. Computer Fraud Abuse Act.

"Operator kemungkinan besar menyembunyikan asal akses mereka atau tidak beroperasi sesuai hukum," kata Justin Timothy, Konsultan Utama GRIT. "Ketika ditanya soal tuntutan bayaran, mereka menjawab bahwa tanpa kompensasi, akses mereka ke infrastruktur pelaku ransomware bisa berisiko hilang."

Analisis Teknikal Serangan

Analisis dua kasus di mana Ransom Busters menghubungi korban menunjukkan kemiripan mencolok, termasuk penggunaan alat yang sama:

• SoftPerfect Network Scanner untuk pengintaian internal
• s5cmd untuk mengekstrak data ke penyimpanan cloud AWS
• Alat manajemen dan pemantauan jarak jauh (RMM) yang diinstal melalui skrip PowerShell

Selain itu, ditemukan pembuatan akun backdoor lokal dengan password "Numlock!123" dan hostname yang sama, DESKTOP-BBETH6K, yang mengindikasikan kemungkinan hanya satu operator yang melakukan semua aktivitas tersebut.

Justin Timothy menegaskan, "Pelaku kriminal tidak dapat dipercaya dan dapat menggunakan taktik menipu agar korban membayar tebusan lebih banyak. 'Ransom Busters' kemungkinan besar adalah afiliasi ransomware yang berkhianat demi keuntungan finansial."

"Pembayaran kepada pelaku kriminal tidak menjamin data yang dicuri akan dihapus. Tidak ada solusi instan untuk kebocoran data, dan kelompok ini harus diperlakukan sebagai penipuan."

Konteks Serangan Ekstensi UNC6671 dan Tren Ransomware

Laporan GRIT juga mengungkap operasi adversary-in-the-middle (AitM) berkelanjutan yang dilakukan oleh UNC6671 (juga dikenal sebagai Cordial Spider dan O-UNC-045) dengan target layanan keuangan, hukum, dan industri lainnya sejak April 2026. Mereka menggunakan berbagai merek ekstorsi seperti Falcon, Helix, Pink, Redact, dan BlackFile.

Operasi ini menandai pergeseran dari serangan ransomware biasa menuju big game hunting, yaitu penargetan organisasi besar dengan teknik canggih.

Selama periode tersebut, lebih dari $8 juta telah dibayarkan melalui 15 dompet Bitcoin yang terkait dengan lima merek tersebut, dengan rata-rata tuntutan sebesar $600.000.

Selain itu, sebanyak 78 subdomain phishing unik telah diidentifikasi yang menargetkan 76 organisasi di 15 sektor industri, dengan 40% terkait layanan keuangan seperti hedge fund, modal ventura, dan manajemen aset.

Perkembangan Terbaru di Lanskap Ransomware

Tren terbaru juga menunjukkan munculnya kelompok ransomware baru seperti Tengu, CRPX0, Majinahanashi, Elite Enterprise, dan lainnya. Misalnya, Majinahanashi menargetkan negara-negara Eropa dan India dengan teknik double-extortion yang dikombinasikan dengan metode modern.

Laporan Check Point Q2 2026 mencatat terdapat 2.139 organisasi yang datanya bocor di situs ransomware, dengan tingkat fragmentasi yang meningkat—jumlah kelompok aktif naik dari 71 menjadi 93.

CYFIRMA menambahkan bahwa kampanye ransomware kini berfokus pada pengumpulan kredensial, pengintaian, eskalasi hak akses, dan persiapan lingkungan sebelum enkripsi dilakukan. Mereka memanfaatkan infrastruktur perusahaan yang terpercaya seperti platform kolaborasi dan layanan cloud resmi agar aktivitas berbahaya sulit terdeteksi.

Juli 2026 mencatat 873 korban ransomware, naik dari 722 pada bulan sebelumnya. Kelompok paling aktif termasuk The Gentlemen, Qilin, dan CRPx0.

Kelompok CRPx0 unik karena mendukung operasi white-label dan model pembagian keuntungan 100%, juga menawarkan layanan Hacking-as-a-Service (HaaS) yang meliputi pelanggaran data dan kompromi jaringan.

Analisis Redaksi

Menurut pandangan redaksi, kemunculan Ransom Busters yang mengaku sebagai "penyelamat" korban ransomware justru menambah kompleksitas dan risiko di dunia kejahatan siber. Ini memperlihatkan bagaimana afiliasi ransomware kini tidak hanya bersaing satu sama lain, tetapi bahkan dapat mengkhianati kelompok kriminal lain demi keuntungan pribadi.

Fenomena ini menggarisbawahi pentingnya kewaspadaan korban terhadap segala bentuk komunikasi yang mengatasnamakan bantuan, karena tidak ada jaminan keamanan atau penghapusan data meski tebusan dibayar. Praktik ini juga menunjukkan bahwa ekosistem ransomware semakin terfragmentasi dan inovatif dalam metode penipuan dan pemerasan.

Ke depan, publik dan organisasi harus memperkuat strategi keamanan siber, termasuk deteksi dini dan mitigasi risiko sekaligus tidak mudah terjebak dalam tawaran bantuan mencurigakan. Laporan ini menjadi peringatan penting untuk selalu waspada terhadap modus baru dalam dunia ransomware yang terus berevolusi.

Selalu ikuti perkembangan terbaru agar tidak menjadi korban berikutnya dan pahami bahwa tidak ada solusi instan tanpa langkah pencegahan dan penanganan profesional dalam menghadapi ransomware.