Grup Ransomware Qilin Menargetkan Infrastruktur VPN Perusahaan dalam Serangan Terkoordinasi terhadap Vendor Jaringan Utama
TL;DR
Grup Ransomware Qilin Menargetkan Infrastruktur VPN Perusahaan dalam Serangan Terkoordinasi terhadap Vendor Jaringan Utama
Sindikat ransomware Qilin bukan lagi sekadar pemain biasa di dunia kejahatan siber—mereka telah menjadi arsitek utama kekacauan. Sejak awal tahun 2025, mereka telah mendalangi sekitar 700 serangan, angka mengejutkan yang menyoroti pergeseran terhitung dalam operasi global mereka. Dengan sindikat RansomHub yang secara efektif tidak lagi beroperasi, Qilin telah mengisi kekosongan tersebut, mengarahkan pandangan mereka ke titik terlemah dalam keamanan perusahaan modern: infrastruktur VPN perusahaan. Mereka tidak hanya membobol masuk; mereka benar-benar menguasai sistem.
Pertama kali muncul pada Agustus 2022 dengan nama "Agenda," grup ini telah mengalami transformasi radikal. Mereka beroperasi dengan model Ransomware-as-a-Service (RaaS), dan mereka tahu cara menjaga bakat mereka tetap puas. Dengan menawarkan potongan hingga 85% dari setiap pembayaran tebusan, mereka telah menarik aliran kriminal berpengalaman yang stabil. Ini bukan sekadar kelompok peretas amatir—ini adalah bisnis, dan bisnis mereka berkembang pesat di sektor kesehatan, energi, dan pendidikan.
Dari Go ke Rust: Pergeseran Teknologi
Pada awalnya, Qilin mengandalkan malware berbasis Go, tetapi itu hanyalah permulaan. Peralihan mereka ke perangkat berbasis Rust telah menjadi mimpi buruk bagi tim keamanan. Rust memungkinkan mereka membangun payload lintas platform yang sangat dapat disesuaikan yang dapat beroperasi dengan mudah di lingkungan Windows, Linux, dan ESXi. Ini adalah senjata serbaguna yang memungkinkan afiliasi mereka menyesuaikan rutinitas enkripsi dengan arsitektur apa pun yang mereka temukan di dalam jaringan target.
Strategi mereka saat ini sangat bergantung pada eksploitasi VPN untuk mengamankan pijakan jangka panjang. Begitu mereka masuk, mereka tidak hanya bertindak liar; mereka bertindak sangat presisi. Menurut analisis mendalam tentang ransomware Qilin, grup ini sangat ahli dalam memanen kredensial langsung dari Google Chrome. Lebih buruk lagi, mereka telah mempersenjatai Windows Subsystem for Linux (WSL). Dengan menjalankan perintah berbahaya di dalam lingkungan Linux yang terkubur di dalam host Windows, mereka secara efektif menjadi tidak terlihat, menyelinap melewati solusi EDR tradisional yang tidak memantau lalu lintas di dalam subsistem tersebut.
| Fitur | Keadaan Awal (2022) | Keadaan Saat Ini (2025) |
|---|---|---|
| Bahasa Utama | Go | Rust / Go |
| Cakupan Target | Perusahaan Umum | Infrastruktur Kritis |
| Metode Persistensi | Kunci Registri Standar | Penyalahgunaan WSL / Eksploitasi VPN |
| Model Pemerasan | Enkripsi Tunggal | Pemerasan Ganda |
Geografi Kejahatan
Eskalasi cepat ransomware Qilin bukanlah kebetulan. Ini adalah perburuan strategis untuk target bernilai tinggi. Namun, terlepas dari jangkauan mereka, mereka mengikuti aturan yang sangat spesifik: mereka tidak menyentuh Persemakmuran Negara-Negara Merdeka (CIS). Mengingat akar grup ini yang berbahasa Rusia, ini adalah langkah klasik untuk menghindari tekanan penegakan hukum domestik yang dapat membongkar operasi mereka dalam semalam.
Mereka juga menggandakan strategi "pemerasan ganda". Mengunci file Anda saja tidak cukup. Mereka mengekstraksi data sensitif Anda dan mengancam akan membocorkannya di situs kebocoran khusus jika tebusan tidak dibayar. Ini adalah taktik tekanan yang brutal dan efektif. Antara pertengahan 2022 hingga pertengahan 2023, mereka telah menghancurkan 12 korban besar. Hari ini? Angka itu telah melonjak, memaksa organisasi ke dalam posisi yang sulit: membayar, atau membiarkan data rahasia Anda menjadi konsumsi publik.
Cara Membangun Pertahanan
Jika Anda mencoba menghentikan musuh yang memperlakukan VPN seperti pintu depan dan WSL seperti terowongan rahasia, deteksi berbasis tanda tangan (signature-based) sudah ketinggalan zaman. Anda memerlukan strategi pertahanan mendalam (defense-in-depth) yang mengasumsikan bahwa perimeter sudah disusupi.
- Penguatan VPN: Jika VPN Anda tidak memiliki MFA yang tahan phishing, VPN tersebut sudah dianggap disusupi. Berhentilah mengandalkan kata sandi sederhana.
- Pemantauan WSL: Kunci sistem ini. Hanya admin resmi yang boleh memiliki kemampuan untuk menginstal atau menjalankan WSL. Jika pengguna biasa menjalankannya, itu adalah tanda bahaya.
- Kebersihan Kredensial: Berhentilah membiarkan browser menyimpan kata sandi perusahaan Anda. Ini adalah tambang emas bagi penyerang, dan Chrome adalah tempat perburuan favorit mereka.
- Analisis Perilaku: Mulailah mencari hal-hal yang tidak wajar. Jika Anda melihat pola eksekusi lintas platform yang tidak sesuai dengan alur kerja TI standar Anda, segera lakukan investigasi.
Tingkat organisasi di balik grup ini sangat mengerikan. Pada Maret 2023, tim Threat Intelligence Group-IB berhasil mengintip ke balik layar, menyusup ke panel afiliasi grup tersebut. Apa yang mereka temukan bukanlah sekumpulan peretas yang tidak terorganisir, melainkan hierarki terstruktur dengan peran khusus untuk rekrutmen, distribusi pembayaran, dan dukungan teknis.
Qilin tidak akan pergi ke mana-mana. Mereka telah membuktikan bahwa mereka dapat beradaptasi dengan tindakan keras penegak hukum dan mengembangkan perangkat teknis mereka untuk tetap selangkah lebih maju. Saat mereka terus mengeksploitasi persimpangan yang rumit antara akses jarak jauh dan kerentanan sistem lokal, satu-satunya cara untuk bertahan hidup adalah berhenti menunggu peringatan dan mulai memburu perilaku mencurigakan. Mereka bermain dengan serius—sudah saatnya industri melakukan hal yang sama.
